CVE-2026-89049
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.9
- EPSS
- —
- CWE
- CWE-918
- KEV Durumu
- Hayır
Yayım tarihi: 10 Eylül 2026
Bir sunucu tarafı istek sahteciliği sorunu, Amazon AWS Systems Manager Agent (SSM Agent) trước 3.3.4851.0 sürümünde, uzaktaki sunuculara bağlantı için port yönlendirme işlevselliğinde eşdeğer adres gösterimlerinin uygun şekilde doğrulanmaması nedeniyle oluşabilir. Bu, bir kimlik doğrulama yapılmış uzaktan kullanıcıya, uzaktan hedef engelleme listesini atlatma ve bağlantı yerel uç noktalarına ulaşma olanağı sağlayabilir ve bu da yönetilen bir örneğin geçici IAM rol kimlik bilgilerini potentially elde etmesi ve bu rolün izinleriyle örnek dışından hareket etmesine neden olabilir, özellikle de bir engellenen bağlantı yerel adresinin alternatif bir gösterimini kullanan özel bir hedef sunucu değeri aracılığıyla. Bu sorunun giderilmesi için kullanıcıların 3.3.4851.0 veya daha sonraki bir sürüme yükseltmesi gerekir.
Orijinal açıklama (İngilizce)
A server-side request forgery issue due to improper validation of equivalent address representations in the port forwarding to remote hosts functionality in Amazon AWS Systems Manager Agent (SSM Agent) before 3.3.4851.0 on all platforms might allow an authenticated remote user to bypass the remote destination denylist and reach link-local endpoints, potentially obtaining the temporary IAM role credentials of a managed instance and acting with that role's permissions from outside the instance, via a crafted destination host value that uses an alternate representation of a denied link-local address. To remediate this issue, users should upgrade to version 3.3.4851.0 or later.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.