- Yama var
- Son 7 gün
- CWE-940
CVE-2026-112408
Amazon SageMaker Python SDK default_bucket fonksiyonunda eksik bucket sahiplik doğrulaması
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 6 gün
- Kaydı açan
- AMZN
ÖzetTürkçe
Amazon SageMaker Python SDK V3 sürümünün 3.10.0 öncesi ile V2 sürümünün 2.257.3 öncesinde, default_bucket fonksiyonundaki bir iletişim kanalının kaynağının doğrulanmaması, uzak saldırganların hedef SageMaker çalıştırma ortamında kod çalıştırmasına ve IAM kimlik bilgilerini ele geçirmesine olanak tanıyabilir. Saldırganlar, SDK'nın sahiplik doğrulaması yapmadan kullandığı, öngörülebilir adlandırılmış bir S3 bucket'ını önceden oluşturarak bu durumu istismar edebilir. Sorunu gidermek için kullanıcıların Amazon SageMaker Python SDK'yı 3.10.0 (V3) veya 2.257.3 (V2) sürümüne yükseltmesi gerekmektedir.
Kaynaktaki açıklama (İngilizce)
Missing verification of source of a communication channel in the default_bucket() function in Amazon SageMaker Python SDK V3 before 3.10.0 and V2 before 2.257.3 might allow remote actors to achieve code execution in the target SageMaker execution environment and obtain IAM credentials via pre-creation of a predictably named S3 bucket that the SDK uses without ownership validation.
To remediate this issue, users should upgrade to Amazon SageMaker Python SDK 3.10.0 (V3) or 2.257.3 (V2).
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| AWS Amazon SageMaker Python SDK | < 2.257.3 | 2.257.3 |
| ≥ 3.0.0, < 3.10.0 | 3.10.0 |
Kaynaklar8 kaynak
- CVE.org kaydı
- NVD kaydı
- aws.amazon.com/security/security-bulletins/2026-142-aws Üretici bülteni
- github.com/aws/sagemaker-python-sdk/releases/tag/v2.257.3 Yama
- github.com/aws/sagemaker-python-sdk/releases/tag/v3.10.0 Yama
- pypi.org/project/sagemaker/3.10.0 Yama
- pypi.org/project/sagemaker/2.257.3 Yama
- github.com/…on-sdk/security/advisories/GHSA-5rx8-8fr2-f855 Üçüncü taraf
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.