Veille sécuritéBackend & données
P3Critique
La fonction default_bucket() du SDK Python Amazon SageMaker ne vérifie pas suffisamment la propriété du compartiment S3 utilisé, ce qui peut permettre l’exécution de code dans l’environnement SageMaker et l’obtention d’identifiants IAM. Mettez à niveau le SDK V3 vers 3.10.0 ou le SDK V2 vers 2.257.3.
Python
IdentifiantCVE-2026-112408
GravitéCritique
Exploitationnon connue / non déterminée
CorrectifV3 3.10.0 ; V2 2.257.3
Source : NVD — CVE-2026-112408
Analyse technique
Un acteur distant peut précréer un compartiment S3 au nom prévisible utilisé par le SDK, sans que celui-ci vérifie la propriété du compartiment. La source indique un risque d’exécution de code dans l’environnement d’exécution SageMaker et d’obtention d’identifiants IAM.
Impact, versions et correctif
Événement datéLa fiche NVD a été publiée le 2026-10-21T22:17:23.877+02:00, dans la période retenue.
ImpactExécution de code dans l’environnement SageMaker et risque d’obtention d’identifiants IAM.
Versions affectéesAmazon SageMaker Python SDK V3 < 3.10.0 ; V2 < 2.257.3
Version corrigéeV3 3.10.0 ; V2 2.257.3
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS9.4
Publication2026-10-21T20:17:23.877Z
Mise à jour2026-10-21T20:17:23.877Z
Action recommandée
Mettre à niveau Amazon SageMaker Python SDK vers V3 3.10.0 ou V2 2.257.3, selon la branche utilisée.
Sources
Priorisation DFS : P3 · 1 source(s).