CVE-2026-15643: SSRF no servidor MCP do AWS HealthLake por meio de URL de paginação não validada
ID do boletim: 2026-054-AWS
Escopo: AWS
Tipo de conteúdo: importante (requer atenção)
Data da publicação: 14/07/2026 13:00 PDT
Descrição:
O servidor MCP do AWS HealthLake (awslabs.healthlake-mcp-server) é um servidor baseado no Protocolo de Contexto do Modelo que capacita assistentes de IA a interagir com datastores FHIR do AWS HealthLake. Identificamos a vulnerabilidade CVE-2026-15643, uma falsificação de requisição do lado do servidor no componente de manipulação de paginação do pacote AWS awslabs.healthlake-mcp-server anterior à versão 0.0.14, em todas as plataformas, que pode permitir que um usuário remoto autenticado exfiltre credenciais de segurança temporárias da AWS para um endpoint arbitrário por meio de um parâmetro next_token adulterado. O servidor não valida se os URLs de paginação apontam para o endpoint esperado do HealthLake, permitindo que um agente malicioso redirecione as requisições subsequentes para um servidor sob seu controle.
Versões afetadas: < 0.0.14
Resolução:
Esse problema foi resolvido na versão awslabs.healthlake-mcp-server 0.0.14. Recomendamos atualizar para a versão mais recente e garantir que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções.
Soluções alternativas:
Enquanto isso, limite o escopo da política do IAM usada pelo servidor ao privilégio mínimo em vez de usar Resource: "*", e não confie no sinalizador --readonly como uma barreira de segurança, pois ele é apenas uma proteção interna no nível do processo para as ferramentas de mutação, e não um controle do IAM; portanto, credenciais expostas mantêm a autoridade total que lhes foi concedida. Os operadores que usam implantações baseadas em perfil (STS) devem considerar a alternância das credenciais do perfil afetado se suspeitarem ter usado uma versão afetada.
Referências:
Reconhecimento:
Gostaríamos de agradecer a Marios Gyftos pela colaboração nessa questão por meio do processo coordenado de divulgação de vulnerabilidades.
Envie um e-mail para aws-security@amazon.com com qualquer dúvida ou preocupação relacionada à segurança.