CVE-2026-124034 Recorrido de directorios en la descarga local de datos de entrada de trabajos híbridos del SDK de Amazon…
Un recorrido de rutas relativas en la descarga local de datos de entrada de trabajos híbridos en Amazon Braket SDK antes de 1.127.7 podría permitir a un usuario remoto autenticado con acceso de escritura a S3 en la ubicación de datos de entrada de un trabajo híbrido sobrescribir archivos arbitrarios con los privilegios del usuario que ejecuta el trabajo, mediante claves de objeto S3 manipuladas. Se recomienda actualizar a amazon-braket-sdk 1.127.7 o posterior.
CVSS 3.1
- CVSS 4.05.9 · media
- Probabilidad de explotaciónSin dato
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
AWS amazon-braket-sdk
desde 1.10.0 hasta antes de 1.127.7
Qué hacer
- Verificá si usás amazon-braket-sdk y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.4 MEDIA
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:U/C:N/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosBajos
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadAlta
- DisponibilidadAlta
CVSS 4.0 · 5.9 MEDIA
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:P/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataquePresentes
- Privilegios requeridosBajos
- Interacción del usuarioPasiva
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Alta
- Disponibilidad (sistema vulnerable)Alta
- Confidencialidad (sistemas posteriores)Ninguna
- Integridad (sistemas posteriores)Ninguna
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Relative path traversal in the local hybrid job input data download in Amazon Braket SDK before 1.127.7 might allow a remote authenticated user with S3 write access to a hybrid job's input data location to overwrite arbitrary files with the privileges of the user running the job via crafted S3 object keys.
We recommend you upgrade to amazon-braket-sdk version 1.127.7 or later.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.