CVE-2026-110248 - Amazon SageMaker Python SDK의 로그 파일에 민감한 정보 삽입
공지 ID: 2026-134-AWS
범위: AWS
콘텐츠 유형: 중요(주의 필요)
게시 날짜: 2026년 10월 14일 오전 11시 30분(PDT)
설명:
Amazon SageMaker Python SDK는 Amazon SageMaker에서 기계 학습 모델을 훈련 및 배포하기 위한 오픈 소스 라이브러리입니다.
Amazon SageMaker Python SDK의 git_utils.py 구성 요소에서 발생하는 문제인 CVE-2026-110248을 식별했습니다. Git 복제 작업이 실패하면 하위 프로세스 오류 출력에 포함된 리포지토리 자격 증명이 마스킹되지 않은 상태로 CloudWatch Logs에 기록됩니다. 이러한 로그에 액세스할 수 있는 인증된 원격 사용자는 일반 텍스트 자격 증명을 얻을 수 있습니다.
영향을 받는 버전:
- 2.257.3 이전 Amazon SageMaker Python SDK V2 버전
- 3.10.0 이전 Amazon SageMaker Python SDK V3 버전
해결 방법:
이 문제는 Amazon SageMaker Python SDK V2 버전 2.257.3 및 V3 버전 3.10.0에서 해결되었습니다. 최신 버전으로 업그레이드하고, 포크되거나 파생된 모든 코드에도 수정 사항이 반영되어 있는지 확인할 것을 권장합니다.
임시 해결 방법:
즉시 업그레이드할 수 없는 경우 Git 리포지토리 URL에 자격 증명을 포함하지 말고 SageMaker Python SDK 출력이 포함된 CloudWatch Logs에 대한 액세스를 제한하세요. 실패한 Git 복제 작업의 로그를 검토하고 영향을 받은 로그 출력에 포함되어 있던 자격 증명을 변경하세요.
참고 사항:
도움을 주신 분:
조정된 취약성 공개 프로세스를 통해 이 문제 해결에 도움을 준 Gouri Sankar A에 감사드립니다.
보안 관련 질문이나 우려 사항이 있는 경우 aws-security@amazon.com으로 이메일을 보내 주세요.