Bartek Chojnacki

AWS FPGA Developer Kit przed wersją 2.3.4 ma poważną lukę bezpieczeństwa (CVE-2026-85028) w komponencie instalacyjnym, gdzie pliki tymczasowe są tworzone z niezabezpieczonymi uprawnieniami. Atakujący z dostępem lokalnym mogą wykorzystać to do wykonania kodu z uprawnieniami root - musisz zaktualizować do wersji 2.3.4 lub nowszej.

Amazon CloudFront dodał wsparcie dla API do zarządzania planami flat-rate pricing, co oznacza że możesz teraz subskrybować, ulepszać i anulować plany programowo przez AWS CLI, SDKs, CloudFormation czy CDK. Płatne plany obsługują dwufazową aktywację – najpierw tworzysz plan, potem go zatwierdzasz, co chroni cię przed niechcianymi opłatami i sprawdza się świetnie w zautomatyzowanych workflow'ach.

W pakiecie @amazon-codecatalyst/blueprints.blueprint (wersje poniżej 0.3.156) znaleziono lukę umożliwiającą wykonanie arbitralnych poleceń systemowych przez pole owner w pliku .ownership-file. Użytkownicy AWS CodeCatalyst nie muszą podejmować działań, bo serwis ma wbudowaną walidację po stronie serwera, ale jeśli używasz SDK lokalnie, warto zaktualizować do wersji 0.3.156 lub wyższej.

Amazon Ion-C poniżej wersji 1.1.6 ma lukę w obsłudze rekursji, którą można wykorzystać do wysłania specjalnie przygotowanych danych i zawalenia aplikacji. Jeśli używasz tej biblioteki, musisz zaktualizować się do 1.1.6 lub nowszej, żeby uniknąć potencjalnego ataku DoS.

AWS opublikował praktyczny poradnik do zarządzania przejściem między źródłami tożsamości w IAM Identity Center, ze szczególnym naciskiem na migrację z Active Directory. Dowiesz się, jak zautomatyzować transfer uprawnień i uniknąć bałaganu w dostępach podczas przechodzenia na nowe rozwiązanie.

AWS rozszerzył SnapStart na funkcje Lambda pakowane jako obrazy kontenerów, co pozwala skrócić czas startu z kilku sekund do poniżej sekundy. Nowa możliwość dostępna jest we wszystkich komercyjnych regionach AWS (poza Nową Zelandią i Tajwanem) i wspiera Java 11+, Python 3.12+ oraz .NET 8+.

W SageMaker Python SDK (wersje poniżej v3.11.0 i v2.256.0) klucz HMAC do ochrony integralności payloadów jest przechowywany w czystym tekście w definicjach pipeline'ów. Użytkownik z uprawnieniami do DescribePipeline może wyciągnąć klucz i wykonać kod w kontekście innego użytkownika – wymagana aktualizacja.

Amazon Quick to narzędzie, które pozwala tworzyć custom'owe aplikacje biznesowe opisując je w naturalnym języku – bez pisania ani linijki kodu. Nowa funkcja jest już dostępna dla klientów Plus, Professional i Enterprise, a integruje się z popularnymi narzędziami jak Salesforce, Jira, Microsoft 365 czy Google Workspace.

Anthropic wypuścił Claude Fable 5.1 na AWS, czyli swój najzdolniejszy model frontier dostępny teraz dla wszystkich. Model radzi sobie lepiej z trudnymi zadaniami rozumowania, długotrwałymi projektami kodowania i pracą badawczą, a do tego potrafi przyznać się, gdy się zacina, zamiast udawać sukces.