Bartek Chojnacki

OpenJD Sessions for Python poniżej wersji 0.11.0 i AWS Deadline Cloud worker agent poniżej 0.33.0 mają podatność na Linuxie, która pozwala uwierzytelnionym użytkownikom wykonać dowolny kod jako worker agent i przejąć jego AWS credentials. Jeśli korzystasz z tych narzędzi, musisz pilnie zaktualizować do wersji 0.11.0 i 0.33.0 odpowiednio.

W AWS API MCP Server (wersje 0.2.13-1.5.0) znaleziono lukę CVE-2026-125271, która pozwala obejść politykę bezpieczeństwa dzięki nieprawidłowej normalizacji nazw operacji. Atakujący może wykonać operacje AWS, które powinny być zablokowane lub wymagać potwierdzenia – wymaga to aktualizacji do wersji 1.5.1 lub nowszej.

Kiro CLI w wersjach od 1.16.0 do 2.27.0 zapisuje transkrypty sesji i historię promptów z błędnymi uprawnieniami dostępu na macOS i Linuksie, co pozwala innym użytkownikom lokalnym czytać te pliki, w tym zawarte w nich dane logowania i kod źródłowy. Jeśli używasz którejś z podatnych wersji, musisz zaktualizować Kiro CLI do wersji 2.27.0 lub nowszej.

Amazon Braket SDK ma dwie podatności (CVE-2026-124034 i CVE-2026-124035) dotyczące pobierania danych hybrydowych jobów oraz walidacji schematów błędów. Jeśli używasz wersji amazon-braket-sdk od 1.10.0 do 1.127.6 lub amazon-braket-schemas od 1.17.0 do 1.32.1, musisz zaktualizować biblioteki do najnowszych wersji.

AWS ParallelCluster CLI w wersjach 3.0.0–3.15.x ma podatność na path traversal w komendach export-cluster-logs i export-image-logs. Zagrożony użytkownik z dostępem do S3 bucket'a mógłby zapisać pliki poza docelowy katalog – trzeba pilnie zaktualizować do wersji 3.16.0 lub nowszej.

Amazon CloudWatch Logs wprowadza możliwość ustawienia polityk retencji danych na poziomie całego konta AWS, co pozwala zarządzać przechowywaniem logów dla wszystkich lub wybranych grup logów za jednym zamachem. Nowa funkcja dostępna jest we wszystkich komercyjnych regionach AWS (poza Bahrajnem i ZEA) i umożliwia tworzenie do 20 polityk na konto, z obsługą prefiksów nazw i elastycznym wyborem zastosowania do istniejących lub nowych grup logów.

AWS ujawnił dwie podatności w warstwie protokołu TDS Babelfish dla Aurora PostgreSQL. CVE-2026-119923 pozwala niezalogowanemu atakującemu wpłynąć na proces bazy danych, a CVE-2026-119924 umożliwia zalogowanemu użytkownikowi odczyt pamięci lub DoS – oba wymagają pilnej aktualizacji.

AWS Systems Manager (SSM) Trusted Remote Execution ma lukę w przykładowych skryptach z dokumentacji setup'u – przez command injection można wykonać niechciane komendy systemowe na zarządzanych instancjach. Jeśli używasz REX z dokumentami Rex-RO lub Rex-RW wygenerowanymi ze starych przykładów, warto sprawdzić dokumentację AWS i zaktualizować konfigurację.

Moonshot AI udostępnił swój model Kimi K3.1 Pro na platformie Amazon Bedrock, co oznacza, że możesz teraz uruchamiać zaawansowane agentyczne use case'i jak coding czy document processing ze sporą szybkością (wysokie OTPS). Model ma 1 milion tokenów kontekstu, wspiera prompt caching do redukcji opóźnień i jest dostępny we wszystkich regionach AWS gdzie działa Bedrock.