公告 ID：2026-058-AWS
範圍：AWS
內容類型：重要 (需要注意)
發布日期：2026 年 7 月 16 日上午 10:00 (太平洋夏令時間)

描述：

Bedrock AgentCore Python SDK (bedrock-agentcore) 是開放原始碼的 Python 程式庫，提供用於在 Amazon Bedrock AgentCore 平台上建置 AI 代理程式的用戶端工具。我們在該 SDK 的 OpenTelemetry 檢測中識別 CVE-2026-15737。受影響的版本在每次呼叫時都會將原始使用者提示和完整的代理程式回應寫入 OpenTelemetry 跨距屬性，而沒有進行篩選或遮罩。這些跨距會流入客戶的 aws/spans CloudWatch 日誌群組，具有 CloudWatch Logs 讀取權限的本機已驗證的使用者可以存取其中可能包含的敏感內容。

受影響版本：1.4.8, 1.5.0

解決方案：

在 Bedrock AgentCore Python SDK 版本 1.5.1 或更新版本中已解決此問題。建議您升級至最新版本，並確保所有分支或衍生程式碼皆已套用修補程式，以納入最新修正。執行受影響版本的使用者也應檢閱並清除其 aws/spans CloudWatch 日誌群組中的敏感內容。

變通方法：

沒有可用的變通方法。將 Bedrock AgentCore Python SDK 升級至 1.5.1 或更高版本。

參考資料：

• CVE-2026-15737
• GHSA-hqf8-7w95-9r33

如有任何安全問題或疑慮，請寄電子郵件至 aws-security@amazon.com。