「AWS SSM Agent」に深刻な脆弱性 - 7月の更新で修正済み

Amazon Web Services（AWS）は、「AWS Systems Manager Agent（SSM Agent）」に深刻な脆弱性が判明したとして、アップデートを公開した。

同ソフトウェアは、AWSのシステム管理サービス「AWS Systems Manager」と連携するエージェントソフトウェア。現地時間2026年9月10日にセキュリティアドバイザリを公開し、サーバサイドリクエストフォージェリ（SSRF）の脆弱性「CVE-2026-89049」について明らかにした。

同脆弱性は、リモートホストへのポート転送機能における検証の不備に起因。脆弱性を悪用するには、ポート転送の権限を持つことが条件となるが、リンクローカルアドレスを異なる形式で表現することにより、拒否リストによる制限をバイパスすることが可能となる。

脆弱性を悪用されると、管理対象インスタンスからリンクローカルのエンドポイントへアクセスされ、管理対象のインスタンスに付与されたIAMロールの一時的な認証情報を取得され、悪用されるおそれがある。

同社はアドバイザリの重要度を「重要（Important）」とレーティング。共通脆弱性評価システム「CVSSv4.0」におけるベーススコアは「8.5」、「CVSSv3.1」は「9.9」と評価されている。

同社は、2026年7月13日にリリースした「同3.3.4851.0」にて脆弱性を修正済みとしている。

（Security NEXT - 2026/09/14 ）ツイート