Loom for AWS העניק הרשאת סופר-אדמין לכל בקשה לא מאומתת — CVE-2026-103956

ב-2 באוקטובר 2026 פרסמה AWS את הבולטין הביטחוני 2026-124-AWS, החושף את CVE-2026-103956ב-Loom for AWS, הפלטפורמה בקוד פתוח של AWS Labs לבנייה, פריסה וניהול של סוכני AI על Amazon Bedrock AgentCore Runtime. בפריסה שבה לא הוגדר ספק זהויות, תלות האימות של ה-backend העניקה זהות קבועה של סופר-אדמין לכל בקשה נכנסת — כולל בקשות שלא נשאו כותרת Authorization כלל. לקוח מרוחק שהצליח להגיע ל-backend יכול היה לרשום שרתי כלים, לקרוא אישורי אינטגרציה מאוחסנים ולשכתב את מדיניות תפקידי ה-IAM המשויכות לתפקידי סוכנים מנוהלים: שליטה מנהלתית מלאה במישור הבקרה של הסוכנים ללא כל אימות. NVD מדרגת את הפגם ב-10.0, קריטי, הן לפי CVSS 3.1 והן לפי CVSS 4.0. הקרדיט על הגילוי ניתן לקנת' קוקס, במסגרת חשיפה מתואמת. ההודעה מתארת למה הפגם היה מאפשר; היא אינה מתארת מה מישהו עשה איתו.

מה שתלות האימות בעצם עשתה

הפגם היה בתלות האימות של ה-backend. לפי ייעוץ האבטחה של GitHub GHSA-vgmj-998f-r8mp, נתיב הקוד בתלות האימות של ה-backend —get_current_user, הפונקציה ב-backend של Loom, החזירה זהות מנהל מקודדת קשיח, חשבון סופר-אדמין בקבוצת g-admins-super, בכל פעם שלא היה קיים מאגר משתמשים של Amazon Cognito ולא ספק זהות חיצוני פעיל. היא לא בדקה אם הקורא הציג טוקן. היא לא עברה למצב של דחייה. היא החזירה את זהות המנהל בכל זאת.

הבולטין של AWS מתאר את ההשלכה באותו אופן: הפגם איפשר לכל לקוח ברשת לקבל סמכות ניהולית מלאה על מישור הבקרה של הסוכן. CVE-2026-103956 ממופה ל-CWE-306 (אימות חסר עבור פונקציה קריטית) ו-CWE-1188 (אתחול ברירת מחדל לא מאובטח של משאב). וקטור CVSS 3.1 של NVD הוא AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — נגיש ברשת, מורכבות נמוכה, ללא הרשאות, ללא אינטראקציית משתמש, היקף שונה, השפעה מלאה על סודיות, שלמות וזמינות.

המסגור החשוב, והחלק שמסביר מדוע ציון CVSS 10.0 נחת על פרויקט קוד פתוח קטן, הוא שפריסה ללא IdP אינה אקזוטית. התקנה חדשה של Loom שטרם חובר אליה Cognito נמצאת בדיוק במצב הזה, וכך גם פריסה שתצורת ספק הזהויות שלה מעולם לא הוגדרה או שהפסיקה להיפתר. ההודעה מתייחסת לכך כמצב נפוץ ולא כתצורה שגויה שהמפעיל היה צריך ליצור בעצמו.

מה שלקוח לא מאומת יכול להגיע אליו

• רישומי סוכנים ושרתי כלים: הלקוח יכול היה לרשום או לשנות את שרתי הכלים שסוכן רשאי לקרוא להם, וזו, בארכיטקטורת קריאה לכלים, ההבדל בין סוכן שקורא פנייה ובין סוכן שמריץ משהו.

• פרטי התחברות מאוחסנים של אינטגרציות: הפלטפורמה מאחסנת פרטי התחברות למערכות החיצוניות שאליהן מתחברים הסוכנים ושרתי הכלים שלה, וההודעה מציינת שאלה היו קריאים.

• מדיניויות תפקיד IAM בתפקידי סוכנים מנוהלים: הייעוץ מתאר כתיבה מחדש של מדיניויות תפקיד IAM המצורפות לתפקידים ש-Loom מנהלת עבור סוכניה, וזהו השלב שהופך שליטה בשכבת התזמור לשליטה במה שהסוכנים יכולים לעשות בתוך חשבון ה-AWS.

• כל השאר שהפלטפורמה מנהלת: סוכנים, זיכרונות, תצורת הרשאה ואבטחה, הגדרות — והפעלה של כל סוכן שהפריסה מריצה.

ארבעת הפריטים האלה הם הרשימה של הודעת הייעוץ עצמה, זו שמפרטת למה גישה מנהלית מלאה מגיעה, לא שחזור. לא נטען שניצול כלשהו השתמש באחד מהם.

מבוסס, ולא מבוסס

מבוסס. הפגיעות הייתה קיימת ומתועדת במקורות ראשוניים מוסכמים: עלון האבטחה 2026-124-AWS של AWS מ-2 באוקטובר 2026, ייעוץ GitHub GHSA-vgmj-998f-r8mp שפורסם באותו יום, ורשומת CVE-2026-103956 של NVD. הגרסאות המושפעות (לפני 1.6.1), ציוני CVSS, מיפויי CWE, גרסת התיקון והקרדיט עקביים ביניהם. רשומת הארכיון לאירוע זה מדורגת ברמת ביטחון A, אינה שנויה במחלוקת, ומכילה real_harm כ-false.

השדות של הרשומה עצמה מתארכים את החשיפה ל-2 באוקטובר 2026, בדיוק של יום, ומתארים טענת הוכחת היתכנות פומבית כלא מאומתת; לא הבולטין ולא הייעוץ נושאים עדות לתקיפה. הרשומה הציבורית של NVD עבור CVE-2026-103956 מפרטת את קטלוג הניצול הידוע של CISA כריק עבור CVE זה, ורשומת הארכיון מציינת את real_harm כ-false. אז: פגם שלקוח רשת שאינו מאומת יכול היה להשתמש בו, בלי עדות במקורות שמישהו עשה זאת.

גם שווה להפריד. ה-CVSS 10.0 מודד מה שהפגם היה מאפשר, לא מה שהוא עשה. ציון 10.0 ללא ניצול וללא נזק מתועד הוא כמעט-פגיעה, והארכיון מסווג אותו כך.

התיקון, והפער של חודשיים לפני שניתן לו שם

AWS תיקנה את הבעיה ב-Loom 1.6.1, שיצא לאור ב-4 באוגוסט 2026. התאריך הזה חשוב: השחרור יצא כחודשיים בערך לפני הבולטין, ומספר ה-CVE היה קיים בפומבי. הערות השחרור של v1.6.1 מתארות את השינוי בלי לציין CVE — עקיפת האימות דורשת כעת הצטרפות מפורשת (opt-in) בתוספת לקוח loopback, ואחרת נכשלת באופן סגור עם 401 — כך שחומרת הפגם וכינויו היו גלויים רק למשתמשי Loom שעקבו אחרי המעקבים, ולא לכל מי שקרא את הערות השחרור בלבד. אותו שחרור הוסיף הקשחה מפני SSRF בבקשות גילוי של OAuth.

עבור פריסות שכבר חשופות, ההנחיה של AWS לפני שדרוג היא שיהיו מוגדרים במלואם Amazon Cognito user pool או ספק זהות חיצוני פעיל לפני שהבקאנד נגיש מעבר ל-loopback, כדי לוודא שהערך של LOOM_ALLOW_UNAUTHENTICATED_LOCAL_DEV אינו מוגדר מחוץ לפיתוח מקומי, ולהגביל בינתיים גישת רשת או גישת קבוצות אבטחה אל הבקאנד. ההודעה מציינת במפורש שהגבלת רשת מפחיתה את הסיכוי לגישה לא מכוונת אך אינה סוגרת את הבעיה ללא השדרוג, ושגם פורקים וקוד נגזר זקוקים לתיקון.

אותו עלון, פגמים שונים

תקציר הרשומה מציין כי 2026-124-AWS אינו עוסק רק ב-CVE הזה. שני נושאים נוספים ב-Loom נחשפו באותו יום ותוקנו ב-Loom 1.7.0: CVE-2026-103957, SSRF בטיפול בגילוי OAuth2 שעלול לשלוח סודות לקוח של OAuth2 או אסימון גישה של משתמש אחר לנקודת קצה הנשלטת בידי תוקף (CVSS 3.1 6.2, CVSS 4.0 8.2), ו-CVE-2026-103958, SSRF בטיפול בחיבורים של שרת כלים וסוכן מרוחק שעלול להגיע לכתובות פנימיות שרירותיות, כולל נקודת הקצה של הקונטיינר להנפקת אישורים, ולקרוא את התגובות (CVSS 3.1 7.6, CVSS 4.0 8.3). שניהם דרשו משתמש מאומת המחזיק בהיקף mcp:write או a2a:write. הבולטין מכסה גם את CVE-2026-104019, הזרקת פקודות מערכת ב-OS בסקריפט אימות האתחול של Studio Space המשמש את Amazon SageMaker Unified Studio, שדורג 9.0 קריטי לפי CVSS 3.1, שלדברי AWS תוקן בצד השרת באמצעות שינוי סניטציה גלובלי שהוחל בהפעלה מחדש הבאה של Space.

לאחר השדרוג, AWS מבקשת מהמפעילים להחליף סודות לקוח של OAuth2 עבור אינטגרציות MCP ו-A2A, לבטל ולהנפיק מחדש טוקנים שהיו פעילים במהלך החלון המושפע, ואם הושגה גישה לפרטי ההזדהות של תפקיד הקונטיינר — להחליף את אישורי ההפעלה של תפקיד IAM ולבדוק את CloudTrail.

מדוע רשומה זו נמצאת בארכיון

CVE-2026-103956 נרשם כפגיעות, לא כתקרית: נמצא, לא בהכרח נוצל, INFRA ו-CRED, GLOBAL, חומרה גבוהה, ודאות גבוהה. ערכו במערך הרשומות הוא בהיותו מקרה גבול עבור כל הקטגוריה של מישורי בקרה של סוכנים. תפקיד Loom הוא להחזיק את הזהויות, את רישומי שרתי הכלים יחד עם אישורי האינטגרציה שלהם, ואת מדיניות IAM שקובעות במה סוכנים רשאים לגעת — השכבה שמחברת פלטפורמת סוכנים לחשבון הענן שבו היא מתקיימת. בדיקה חסרה בשכבה הזו לא מחלישה סוכן; היא מעבירה את כל הנכסים. רשומה אחות בארכיון, חשיפת AgentCorruption מ-8 באוקטובר 2026 נגד Amazon Bedrock AgentCore, מתארת את אותה שכבה שאליה מגיעים בדרך אחרת — שרשרת SSRF מסוכן אחד שחשוף לציבור.

הארכיון מפרט כל תקרית סוכן מתועדת שהוא מכיל, כשלכל אחת מהן מקורות משלה, חומרה, דירוג אמינות וסימון מחלוקת, לצד זו. מאמר זה עוסק ברשומה בודדת בקבוצה הזו, והרשומה היא המקום שבו נמצא הסיווג המלא לפי שדות.

זו רשומה אחת, שנחקרה ודווחה על ידי אחרים ומצוטטת כאן על שמם. השכבה של Loom עצמה — זהויות, רישומי שרתי כלים ומדיניות ה-IAM שקובעות מה סוכנים רשאים לגעת בו — היא השכבה שאליה הרשומות האחיות בארכיון תקריות ה-AI מגיעות גם, וכל אחת מהרשומות הללו נושאת מקורות משלה, חומרה, דרגת ביטחון ודגל מחלוקת.