کشف آسیب‌پذیری امنیتی در API آمازون Bedrock AgentCore InvokeHarness

شرکت آمازون اخیراً آسیب‌پذیری مهمی را در API مربوط به Bedrock AgentCore خود شناسایی کرده است که می‌تواند تأثیر قابل توجهی بر امنیت کاربران این سرویس داشته باشد. این آسیب‌پذیری که با شناسه CVE-۲۰۲۶-۱۸۸۳۰ ثبت شده است، در بخش InvokeHarness API وجود دارد و به کاربران احراز هویت شده اجازه می‌دهد تا ابزارهای پیکربندی شده را بدون عبور از فرآیند فراخوانی مدل و کنترل‌های امنیتی مرتبط اجرا کنند.

در جزئیات این آسیب‌پذیری آمده است که زمانی که پیام آخرین درخواست InvokeHarness شامل یک بلوک محتوای استفاده از ابزار باشد، حلقه رویداد عامل می‌تواند ابزار نام‌برده شده را مستقیماً اجرا کند بدون اینکه مدل واسطه‌ای در این فرآیند دخیل باشد. این موضوع به معنای دور زدن مکانیزم‌های امنیتی است که معمولاً اجرای ابزارها را تحت نظارت مدل‌ها و کنترل‌های امنیتی قرار می‌دهند.

با این حال، تأثیر این آسیب‌پذیری محدود به ابزارهای پیکربندی شده در هر harness خاص است. به عبارت دیگر، harnessهایی که هیچ ابزاری در آنها پیکربندی نشده باشد، قادر به اجرای هیچ ابزاری نخواهند بود و harnessهایی که مجموعه محدودی از ابزارها را دارند، تنها به آن مجموعه محدود می‌شوند. این محدودیت‌ها تا حدی از گسترش آسیب‌پذیری جلوگیری می‌کند اما همچنان ریسک امنیتی قابل توجهی برای سیستم‌های تحت تأثیر ایجاد می‌کند.

نسخه‌های آسیب‌دیده این API شامل تمامی نسخه‌های قبل از تاریخ ۳۱ جولای ۲۰۲۶ است. بنابراین، کاربران و مدیران سیستم‌هایی که از Amazon Bedrock AgentCore استفاده می‌کنند، باید هرچه سریع‌تر نسبت به بررسی و به‌روزرسانی سیستم‌های خود اقدام کنند تا از بروز سوءاستفاده‌های احتمالی جلوگیری شود.

این آسیب‌پذیری نشان‌دهنده اهمیت بالای نظارت مستمر و ارزیابی امنیتی در سرویس‌های ابری و APIهای مرتبط است. با توجه به پیچیدگی و گستردگی خدمات ابری، وجود چنین نقاط ضعف امنیتی می‌تواند زمینه‌ساز حملات گسترده و نفوذهای غیرمجاز شود. به همین دلیل، شرکت‌های ارائه‌دهنده خدمات ابری باید به‌روزرسانی‌های امنیتی را به سرعت منتشر کنند و کاربران نیز باید با دقت اطلاعیه‌های امنیتی را دنبال کنند.

در نهایت، توصیه می‌شود که کاربران Amazon Bedrock AgentCore ضمن بررسی دقیق پیکربندی ابزارهای خود، از نسخه‌های به‌روز API استفاده کنند و در صورت نیاز با تیم پشتیبانی آمازون تماس بگیرند تا راهنمایی‌های لازم برای رفع این آسیب‌پذیری را دریافت کنند. همچنین، پیاده‌سازی لایه‌های امنیتی اضافی و نظارت بر رفتار APIها می‌تواند به کاهش ریسک‌های امنیتی کمک کند.

این رویداد بار دیگر اهمیت امنیت در محیط‌های ابری و تعاملات API را برجسته می‌کند و نشان می‌دهد که حتی سرویس‌های پیشرفته و محبوب نیز در معرض تهدیدات امنیتی قرار دارند که باید با دقت و سرعت به آنها پاسخ داده شود.