公告 ID： 2026-134-AWS
範圍：AWS
內容類型：重要 (需要注意)
發布日期： 2026 年 10 月 14 日上午 11:30 (太平洋夏令時間)

描述：

Amazon SageMaker Python SDK 是開放原始碼程式庫，可用於在 Amazon SageMaker 上訓練與部署機器學習模型。

我們已發現  CVE-2026-110248，這是 Amazon SageMaker Python SDK 的  git_utils.py  元件中存在的一個問題。當 Git 複製操作失敗時，子程序錯誤輸出中的儲存庫憑證會在未經遮蔽的情況下寫入 CloudWatch Logs。具有這些日誌存取權的已驗證身分遠端使用者能夠取得純文字憑證。

受影響的版本：

• 2.257.3 之前的 Amazon SageMaker Python SDK V2 版本
• 3.10.0 之前的 Amazon SageMaker Python SDK V3 版本

解決方案：

此問題已在 Amazon SageMaker Python SDK V2 版本  2.257.3  與 V3 版本  3.10.0 中得到解決。我們建議升級至最新版本，並確保任何分支或衍生程式碼皆已納入相關修正。

變通方法：

如果無法立即升級，請避免在 Git 儲存庫 URL 中包含憑證，並且針對包含 SageMaker Python SDK 輸出的 CloudWatch Logs 限制存取權。請檢閱失敗的 Git 複製操作產生的日誌，並且輪換出現在受影響日誌輸出中的任何憑證。

參考資料：

• CVE-2026-110248
• GHSA-g6w4-jvgp-68x2

致謝：

我們誠摯感謝 Gouri Sankar A 透過協調式漏洞揭露程序，與我們共同處理此問題。

如有任何安全性問題或疑慮，請傳送電子郵件至 aws-security@amazon.com 。