CVE-2026-110248: inserção de informações confidenciais em arquivos de log no Amazon SageMaker Python SDK
ID do boletim: 2026-134-AWS
Escopo: AWS
Tipo de conteúdo: importante (requer atenção)
Data de publicação: 14/10/2026 11h30 PDT
Descrição:
o Amazon SageMaker Python SDK é uma biblioteca de código aberto para treinamento e implantação de modelos de machine learning no Amazon SageMaker.
Identificamos o CVE-2026-110248, um problema no componente git_utils.py do Amazon SageMaker Python SDK. Quando uma operação de clone do Git falha, as credenciais do repositório na saída de erro do subprocesso são gravadas no CloudWatch Logs sem supressão. Um usuário remoto autenticado com acesso a esses logs pode obter as credenciais em texto simples.
Versões afetadas:
- versões do Amazon SageMaker Python SDK V2 anteriores à 2.257.3
- versões do Amazon SageMaker Python SDK V3 anteriores à 3.10.0
Resolução:
este problema foi resolvido nas versões Amazon SageMaker Python SDK V2 2.257.3 e V3 3.10.0. Recomendamos atualizar para a versão mais recente e garantir que qualquer código bifurcado ou derivado incorpore as correções.
Soluções alternativas:
se a atualização imediata não for possível, evite incluir credenciais nos URLs do repositório Git e restrinja o acesso aos CloudWatch Logs contendo a saída do SDK do SageMaker Python. Revise os logs de operações de clonagem do Git que falharam e alterne todas as credenciais que estavam presentes na saída de log afetada.
Referências:
Reconhecimento:
gostaríamos de agradecer a Gouri Sankar A por sua colaboração com esse problema por meio do processo coordenado de divulgação de vulnerabilidades.
Envie um e-mail para aws-security@amazon.com com qualquer dúvida ou preocupação relacionada à segurança.