Bartek Chojnacki

aws-healthomics-mcp-server w wersji 0.0.35 i starszych ma lukę path traversal w narzędziach lintingu, która pozwala na zapis plików poza docelowy katalog workflow'u. Jeśli używasz tego serwera, musisz zaktualizować się do wersji 0.0.36 lub nowszej. Podatność może być exploitowana przez aktora wpływającego na MCP agenta poprzez directory traversal sequences w parametrze workflow_files.

Amazon Athena Federated Query ma problem w Synapse Connectorze (CVE-2026-12283), który może zwrócić nieprzewidziane dane przy zapytaniu do tabeli ze specjalnie spreparowaną nazwą. Dotyczy wersji od v2022.20.1 do v2026.19.1 – jeśli korzystasz z Azure Synapse przez Athenę, musisz zaktualizować connector do nowszej wersji. To ważne, bo luka pozwala na wyciek danych przy dostępie do konta Synapse.

AWS rozwiązuje problem 75 GB limitu przechowywania kodu w Lambda, pozwalając na zarządzanie pakietami deployment bezpośrednio z własnych S3 bucketów. To oznacza większą elastyczność dla tych, którzy skalują funkcje na dużą skalę i chcą mieć pełną kontrolę nad artefaktami deployment.

AWS jsii-diff poniżej wersji 1.131.0 ma lukę command injection – specjalnie sformatowane argumenty linii poleceń mogą pozwolić na wykonanie dowolnych komend shellowych. Jeśli używasz tego narzędzia, musisz zaktualizować się ASAP. Dotyczy to wszystkich wersji poniżej 1.131.0.

Bedrock AgentCore Python SDK (wersje 1.4.8 i 1.5.0) ma lukę bezpieczeństwa w instrumentacji OpenTelemetry. Problem polega na tym, że surowe prompty użytkowników i pełne odpowiedzi agenta trafiają niezafiltrowane do CloudWatch Logs, gdzie mogą je przeczytać lokalni użytkownicy z dostępem do odczytu. Jeśli używasz którejś z podatnych wersji, musisz jak najszybciej zaktualizować bibliotekę.

Artykuł pokazuje, dlaczego warto przejść z Apache Solr na Amazon OpenSearch Serverless – głównie ze względu na łatwość operacyjną i wbudowane możliwości AI. Dowiesz się, jakie korzyści niesie taka migracja i jak ją przeprowadzić.

Strands Agents Tools (wersje poniżej 0.7.0) ma poważną lukę SSRF w narzędziu elasticsearch_memory. Problem polega na tym, że LLM może kontrolować parametry połączenia, a gdy brakuje api_key, tool pada na zmienną środowiskową ELASTICSEARCH_API_KEY i wysyła ją do serwera wskazanego przez model. Wystarczy sprytny prompt, żeby skierować połączenie na serwer atakującego i wyciekł klucz API. Trzeba zaktualizować do wersji 0.7.0 lub nowszej.

AWS opublikował comiesięczny digest z najnowszymi feature'ami security, aktualizacjami compliance oraz praktycznymi zasobami dla inżynierów. W tym miesiącu znalazł się materiał na temat identity and access management, threat intelligence, network security, AI-powered security tooling i multi-account setup.

Apache Celeborn rozwiązuje problem wydajności remote shuffle service na Amazon EMR on EKS i EC2, poprawiając niezawodność jobów i obniżając koszty. Dowiesz się, jak zoptymalizować pipeline'y data engineeringu dzięki tej integracji.