【漏洞通告】Amazon SageMaker Python SDK存在信任管理问题漏洞(CVE-2026-112408)

安迈信科应急响应中心

2026年10月29日 11:10
陕西

去阅读

01 漏洞概况 在3.10.0之前的Amazon SageMaker Python SDK V3以及2.257.3之前的V2版本中，default\_bucket()函数缺少对通信渠道来源的验证，可能允许远程行为者通过预先创建一个可预测命名的S3存储桶（该SDK使用该存储桶而未进行所有权验证）在目标SageMaker执行环境中实现代码执行并获取IAM凭证。 为修复此问题，用户应升级至Amazon SageMaker Python SDK 3.10.0（V3）或2.257.3（V2）。 02 漏洞处置 综合处置优先级：高 | | | | | --- | --- | --- | | 漏洞信息 | 漏洞名称 | Amazon SageMaker Python SDK存在信任管理问题漏洞 | | 漏洞编号 | CVE编号 | CVE-2026-112408‍ | | 漏洞评估 | 披露时间 | 2024-10-21 | | 漏洞类型 | 信任管理问题 | | 危害评级 | 高危 | | 公开程度 | PoC未公开 | | 威胁类型 | 远程 | | 利用情报 | 在野利用 | 是 | | 影响产品 | 产品名称 | Amazon SageMaker Python SDK | | 受影响版本 | AV3 < 3.10.0，V2 < 2.257.3 | | 影响范围 | 广 | | 有无修复补丁 | 有 |

03 漏洞排查 用户尽快排查应用系统或开发环境是否使用 Amazon SageMaker Python SDK，应用版本是否在 V3 < 3.10.0 或 V2 < 2.257.3 范围内。重点排查代码中是否调用了 default\_bucket() 函数。若存在应用使用且暴露在公网，极大可能被远程攻击者通过预先创建同名 S3 存储桶实现代码执行并窃取 IAM 凭证。 04 修复方案 请尽快将组件 Amazon SageMaker Python SDK 升级至 V3 3.10.0 或 V2 2.257.3 及以上版本 05 时间线 2026.10.21 VulDB发布安全补丁 2026.10.21 安迈信科安全运营团队发布通告 关于安迈信科 西安安迈信科科技有限公司以“数字化可管理”为核心理念，坚持DevOps自主研发，创新打造“能力聚合、流程闭环、持续赋能”的综合性网络数据安全平台与运营服务。公司从古城西安出发，已在全国范围内为政府、运营商、电力、能源等行业客户提供了高质量的安全保障，并将继续为我国数字化转型和发展贡献力量。 智 慧 . 至 简 . 致 诚