CVE-2026-115845 - AWS MCP 서버 내 run_script Python 샌드박스의 불완전한 유효성 검사
공지 ID: 2026-149-AWS
범위: AWS
콘텐츠 유형: 중요(주의 필요)
게시 날짜: 10/23/2026 12:00 PM PDT
설명:
AWS MCP 서버는 Model Context Protocol(MCP)을 통해 AI 에이전트에게 AWS에 대한 액세스 권한을 부여하는 관리형 서버로, 샌드박스 환경에서 Python 스크립트를 실행하는 run_script 도구를 포함합니다.
AWS MCP 서버 내 run_script 도구의 Python 코드 유효성 검사기에서 CVE-2026-115845 문제를 확인했습니다. 허용되지 않는 입력 목록이 불완전하면 인증된 원격 사용자가 자신의 격리된 세션 환경 내에서 조작된 스크립트를 통해 임의의 코드를 실행할 수 있습니다.
영향을 받는 버전: 해당 없음(관리형 서비스, 전용 호스팅)
해결 방법:
이 문제는 서비스 측에서 해결되었습니다. 고객이 취해야 할 조치는 없습니다.
임시 해결 방법:
run_script 도구는 Python 스크립트를 통해 AWS API를 오케스트레이션하도록 설계되었습니다. AWS API 호출을 수행하는 Python 스크립트를 실행하는 목적으로만 사용하는 경우 임시 해결 방법은 필요하지 않습니다.
참고 사항:
도움을 주신 분:
조정된 취약성 공개 프로세스를 통해 이 문제에 협력해 주신 Manash Saikia님께 감사드립니다.
보안 관련 질문이나 우려 사항이 있는 경우 aws-security@amazon.com 으로 이메일을 보내 주세요.