CVE-2026-105812 e CVE-2026-106032: Problema com o kit de ferramentas Bedrock AgentCore Starter - Injeção de código do agente de importação e SSRF
ID do boletim: Escopo 2026-127-AWS:
Tipo de
conteúdo da AWS: Importante (requer atenção) Data de
publicação: 10/06/2026 13:30 PDT
Descrição:
bedrock-agentcore-starter-toolkit é um pacote Python de código aberto mantido pela AWS, distribuído via GitHub e PyPI, que fornece uma interface de linha de comando para importar Amazon Bedrock Agents em ambientes de desenvolvimento locais. Identificamos o CVE-2026-105812, um problema de injeção de código que pode permitir a execução arbitrária de código quando um agente especialmente criado é importado e posteriormente executado ou implantado, e o CVE-2026-106032, um problema externo de tratamento de referências que pode causar solicitações de rede não intencionais ou acesso a arquivos locais durante a importação do agente.
Versões afetadas: >= 0.1.4 e <= 0.3.13
Resolução:
Esse problema foi resolvido na versão 0.3.14 do bedrock-agentcore-starter-toolkit. Recomendamos atualizar para a versão mais recente e garantir que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções. Os agentes importados com uma versão afetada devem ser reimportados com a versão 0.3.14 ou posterior e seus artefatos de saída locais e implantados devem ser substituídos.
Soluções alternativas:
bedrock-agentcore-starter-toolkit foi descontinuado em 27 de março de 2026. Clientes que ainda não migraram podem evitar a divulgação não intencional ao se absterem de executar os comandos agentcore create import ou agentcore import-agent contra agentes Bedrock cujos campos do plano de dados podem ter sido modificados por outros diretores na mesma conta. A ação recomendada de longo prazo é migrar para a ferramenta substituta, AgentCore CLI (@aws /agentcore), que contém a correção equivalente para a mesma classe de problema.
Referências:
Reconhecimento:
Gostaríamos de agradecer a Koh Jun Sheng por colaborar nessa questão por meio do processo coordenado de divulgação de vulnerabilidades.
Envie um e-mail para aws-security@amazon.com com quaisquer perguntas ou preocupações de segurança.