SSRF и чтение локальных файлов в Bedrock AgentCore Starter Toolkit — CVE-2026-106032
В Amazon Bedrock AgentCore Starter Toolkit до версии 0.3.14 обнаружена уязвимость класса SSRF, позволяющая аутентифицированному злоумышленнику в том же AWS-аккаунте инициировать произвольные исходящие запросы и читать локальные файлы при импорте агента. Критичность — средняя (CVSS 5.7). Пакет признан устаревшим: рекомендуется миграция на @aws/agentcore.
Подробности
Уязвимость затрагивает функцию импорта агентов в пакете aws bedrock-agentcore-starter-toolkit версий до 0.3.14. При обработке OpenAPI-схемы, связанной с action group агента, инструмент разрешает внешние ссылки (external references) без должных ограничений. Это открывает две возможности: - Server-Side Request Forgery (SSRF): аутентифицированный удалённый злоумышленник, находящийся в том же AWS-аккаунте, может заставить окружение пользователя, импортирующего агента, выполнять произвольные исходящие запросы. - Чтение локальных файлов: через специально сформированные значения внешних ссылок в OpenAPI-контенте злоумышленник может инициировать чтение произвольных файлов на локальной системе пользователя, выполняющего импорт. Вектор атаки требует наличия аутентификации и присутствия в том же AWS-аккаунте, что снижает общую оценку критичности до средней. Тем не менее последствия эксплуатации могут быть значительными: утечка содержимого локальных файлов и использование инфраструктуры жертвы для обращения к внутренним ресурсам сети.Что делать
Основная рекомендация — обновить aws bedrock-agentcore-starter-toolkit до версии 0.3.14 или выше. Именно в этой версии устранена проблема неограниченного разрешения внешних ссылок. Важно учитывать, что пакет bedrock-agentcore-starter-toolkit объявлен устаревшим (deprecated). Поддерживаемой заменой является npm CLI @aws/agentcore, в котором данная уязвимость отсутствует. Для долгосрочной безопасности рекомендуется миграция на @aws/agentcore. Дополнительные меры защиты до обновления или миграции: - Ограничить круг пользователей, имеющих право импортировать агентов и работать с action groups. - Проверять происхождение OpenAPI-схем перед импортом, не использовать контент из недоверенных источников. - Контролировать исходящий сетевой трафик из сред, где выполняется импорт агентов. - Соблюдать принцип минимальных привилегий для учётных записей в AWS-аккаунте. Итог: CVE-2026-106032 — умеренно опасная, но требующая внимания уязвимость, сочетающая SSRF и чтение локальных файлов. Риск реализуется только при наличии аутентификации в том же аккаунте, однако с учётом устаревания пакета разумнее всего не полагаться на патч, а перейти на поддерживаемый @aws/agentcore.Источник: CVE Project (cvelistV5)