AWSは2026年10月22日(日本時間)、Amazon SageMaker Python SDKのdefault_bucket()関数に関する脆弱性を公表しました。バケットの所有者を確認しない不備があり、条件がそろうとSageMaker実行環境でのコード実行や認証情報の取得につながる恐れがあります。修正版は公開済みで、利用企業はSDKの版とバケットの指定方法を確認する必要があります。
バケット名の先取りでコード実行の恐れ
脆弱性の識別番号はCVE-2026-112408です。SDKは開発用のソフトウェア部品で、今回の対象はAmazon SageMaker Python SDKにあるdefault_bucket()関数です。
AWSによると、このSDKは名前を予測できるAmazon S3バケットを使います。バケットはデータを保存する入れ物ですが、呼び出し元のAWSアカウントがそのバケットを所有しているかを確認していませんでした。
攻撃者が先に同じ名前のバケットを作ると、遠隔のSageMaker実行環境でコードを実行される恐れがあります。また、AWSのアクセス権限を管理するIAMの認証情報も取得される可能性があります。
確認すべき点は、バケット名だけではありません。自動生成された名前に頼っているか、そのバケットを自社のAWSアカウントが所有しているかを、SDKの利用版と合わせて調べることが重要です。
V2とV3で修正版が異なる
影響する版と修正版は、系列ごとに異なります。
- V2：2.257.3未満が対象です。2.257.3で修正されています。
- V3：3.0.0以上、3.10.0未満が対象です。3.10.0で修正されています。
AWSは最新版への更新を推奨しています。元のコードを分岐して管理するフォークや、派生コードにも修正を反映するよう求めています。配布されたSDKだけでなく、自社や委託先で変更したコードがあるかも確認対象になります。
更新できない場合の回避策も示されています。sagemaker.Sessionのdefault_bucket引数、またはSDK設定ファイルで、自社のAWSアカウントが所有するS3バケットを明示的に指定します。AWSは、自動生成されるデフォルトのバケット名に頼らないよう案内しています。
日本での提供は発表には書かれていません。また、影響対象を日本など特定の地域に限定する条件も、発表には書かれていません。
影響する会社・しない会社
- 影響する: Amazon SageMaker Python SDKのV2で2.257.3未満、またはV3で3.0.0以上3.10.0未満を使う会社です。default_bucket()の利用箇所と、バケットの所有者確認を優先してください。
- 影響する: 対象SDKをフォークしたり、派生コードとして使ったりしている会社です。利用元の修正が自社のコードにも反映されているかを調べる必要があります。
- 影響しない: AWSが修正済みとするV2の2.257.3、V3の3.10.0では、今回の不備は修正されています。ほかの脆弱性まで対象外とする説明ではありません。
- 影響しない: 対象SDKやその派生コードを使っていない会社は、今回示された対象には当たりません。AWSを利用しているという理由だけで対象と判断せず、開発担当者に利用有無を確認してください。
