Loom for AWS Memberi Setiap Permintaan Tanpa Autentikasi Akses Super-Admin — CVE-2026-103956

Pada 2 Oktober 2026, AWS menerbitkan Buletin Keamanan 2026-124-AWS, mengungkapkan CVE-2026-103956 di Loom for AWS, platform sumber terbuka AWS Labs untuk membangun, menerapkan, dan mengelola agen AI di Amazon Bedrock AgentCore Runtime. Dalam deployment yang tidak ada penyedia identitas dikonfigurasi, dependensi autentikasi backend memberikan identitas super-admin tetap kepada setiap permintaan masuk — termasuk permintaan yang tidak membawa header Authorization sama sekali. Klien jarak jauh yang dapat menjangkau backend dapat mendaftarkan server alat, membaca kredensial integrasi yang tersimpan, dan menulis ulang kebijakan peran IAM yang terlampir pada peran agen yang dikelola: kontrol administratif penuh atas control plane agen tanpa autentikasi sama sekali. NVD menilai celah ini 10,0, kritis, baik dalam CVSS 3.1 maupun CVSS 4.0. Kredit atas temuan diberikan kepada Kenneth Cox, yang bekerja melalui pengungkapan terkoordinasi. Advisory menguraikan apa yang dapat dilakukan celah tersebut; advisory tidak menguraikan apa yang dilakukan siapa pun dengannya.

Apa yang sebenarnya dilakukan oleh dependensi autentikasi

Cacat tersebut terletak pada dependensi autentikasi backend. Menurut advis GitHub GHSA-vgmj-998f-r8mp, jalur kode dalam dependensi autentikasi backend — get_current_userfungsi di backend Loom — mengembalikan identitas administrator yang di-hardcode, yaitu akun super-admin dalam grup g-admins-super, setiap kali tidak ada user pool Amazon Cognito dan tidak ada penyedia identitas eksternal yang aktif. Kode itu tidak memeriksa apakah pemanggil telah menyertakan token. Kode itu tidak berlanjut ke penolakan. Kode itu tetap mengembalikan identitas administrator tersebut.

Buletin AWS menggambarkan konsekuensinya dengan cara yang sama: celah tersebut memungkinkan klien jaringan mana pun memperoleh otoritas administratif penuh atas bidang kendali agen. CVE-2026-103956 dipetakan ke CWE-306 (autentikasi yang hilang untuk fungsi kritis) dan CWE-1188 (inisialisasi default yang tidak aman pada suatu sumber daya). Vektor CVSS 3.1 dari NVD adalah AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — dapat dijangkau melalui jaringan, kompleksitas rendah, tanpa hak istimewa, tanpa interaksi pengguna, cakupan berubah, dampak penuh terhadap kerahasiaan, integritas, dan ketersediaan.

Pembingkaian pentingnya, dan bagian yang menjelaskan mengapa CVSS 10.0 diberikan kepada proyek open-source kecil, adalah bahwa deployment tanpa IdP bukanlah hal yang eksotis. Instalasi Loom baru yang belum dihubungkan dengan Cognito berada tepat dalam kondisi itu, begitu pula deployment yang konfigurasi penyedia identitasnya tidak pernah ditetapkan atau tidak lagi bisa di-resolve. Advisory memperlakukan ini sebagai kondisi yang umum, bukan sebagai kesalahan konfigurasi yang harus dibuat oleh operator.

Apa yang dapat dijangkau oleh klien yang tidak terautentikasi

• Pendaftaran agen dan server alat: klien dapat mendaftarkan atau mengubah server alat yang boleh dipanggil oleh agen, yang dalam arsitektur pemanggilan alat merupakan perbedaan antara agen yang membaca tiket dan agen yang menjalankan sesuatu.

• Kredensial integrasi yang disimpan: platform menyimpan kredensial untuk sistem eksternal yang terhubung dengan agen dan server alatnya, dan buletin menyatakan bahwa kredensial tersebut dapat dibaca.

• Kebijakan peran IAM pada peran agen terkelola: advisory tersebut menjelaskan penulisan ulang kebijakan peran IAM yang terlampir pada peran yang dikelola Loom untuk agen-agennya, yakni langkah yang mengubah kendali atas lapisan orkestrasi menjadi kendali atas apa yang dapat dilakukan agen di dalam akun AWS.

• Semua hal lain yang dikelola platform: agen, memori, konfigurasi authorizer dan keamanan, pengaturan — dan memanggil agen apa pun yang dijalankan oleh deployment.

Keempat hal itu adalah daftar milik advisory itu sendiri mengenai apa saja yang dapat dicapai oleh akses administratif penuh, bukan sebuah rekonstruksi. Tidak ada eksploitasi yang diklaim telah menggunakan salah satu dari hal-hal tersebut.

Mapan, dan tidak mapan

Terkonfirmasi. Kerentanan tersebut ada dan didokumentasikan dalam sumber-sumber primer yang disepakati: Buletin Keamanan AWS 2026-124-AWS tertanggal 2 Oktober 2026, advisory GitHub GHSA-vgmj-998f-r8mp yang diterbitkan pada hari yang sama, dan catatan CVE-2026-103956 milik NVD. Versi yang terpengaruh (sebelum 1.6.1), skor CVSS, pemetaan CWE, versi perbaikan, dan penghargaannya konsisten di antara sumber-sumber tersebut. Catatan arsip untuk insiden ini dinilai dengan tingkat keyakinan A, tidak diperdebatkan, dan mencantumkan real_harm sebagai false.

Field milik catatan itu sendiri menempatkan pengungkapan pada 2 Oktober 2026, dengan presisi tingkat hari, dan menggambarkan klaim proof-of-concept publik sebagai belum diverifikasi; baik buletin maupun advisori tidak membawa bukti adanya serangan. Catatan publik NVD untuk CVE-2026-103956 mencantumkan katalog known-exploited milik CISA sebagai kosong untuk CVE ini, dan catatan arsip mencantumkan real_harm sebagai false. Jadi: celah yang dapat digunakan oleh klien jaringan tanpa autentikasi, tanpa bukti di sumber bahwa ada yang melakukannya.

Juga layak dipisahkan. CVSS 10.0 mengukur apa yang dapat dilakukan oleh kerentanan itu, bukan apa yang telah terjadi. Skor 10.0 tanpa eksploitasi dan tanpa kerugian yang tercatat adalah sebuah insiden yang nyaris terjadi, dan arsip mencatatnya seperti itu.

Perbaikan itu, dan jeda dua bulan sebelum diberi nama

AWS memperbaiki masalah tersebut di Loom 1.6.1, dirilis pada 4 Agustus 2026. Tanggal itu penting: rilis tersebut muncul sekitar dua bulan sebelum buletin dan nomor CVE sudah ada secara publik. Catatan rilis v1.6.1 menjelaskan perubahan itu tanpa menyebut CVE — bypass autentikasi kini memerlukan opt-in eksplisit plus klien loopback, dan jika tidak, akan gagal tertutup dengan kode 401 — sehingga tingkat keparahan dan penetapan CVE celah tersebut hanya terlihat oleh pengguna Loom yang mengikuti pelacak kerentanan, bukan oleh siapa pun yang hanya membaca catatan rilis. Rilis yang sama menambahkan penguatan terhadap SSRF untuk pengambilan discovery OAuth.

Untuk deployment yang sudah terekspos, panduan pra-peningkatan dari AWS adalah agar Amazon Cognito user pool atau penyedia identitas eksternal yang aktif telah dikonfigurasi sepenuhnya sebelum backend dapat dijangkau di luar loopback, untuk memastikan LOOM_ALLOW_UNAUTHENTICATED_LOCAL_DEV tidak diset di luar pengembangan lokal, dan untuk sementara membatasi akses jaringan atau security group ke backend. Buletin tersebut secara eksplisit menyatakan bahwa pembatasan jaringan menurunkan kemungkinan akses yang tidak diinginkan tetapi tidak menutup masalah ini tanpa peningkatan versi, dan bahwa fork serta kode turunan juga perlu ditambal.

Buletin yang sama, kelemahan yang berbeda

Ringkasan catatan tersebut menyebutkan bahwa 2026-124-AWS bukan hanya tentang CVE ini. Dua masalah Loom lainnya diungkapkan pada hari yang sama dan diperbaiki di Loom 1.7.0: CVE-2026-103957, SSRF dalam penanganan penemuan OAuth2 yang dapat mengirim rahasia klien OAuth2 atau token akses pengguna lain ke endpoint yang dikendalikan penyerang (CVSS 3.1 6.2, CVSS 4.0 8.2), dan CVE-2026-103958, SSRF dalam penanganan koneksi server alat dan agen jarak jauh yang dapat menjangkau sembarang alamat internal, termasuk endpoint penyediaan kredensial kontainer, dan membaca responsnya (CVSS 3.1 7.6, CVSS 4.0 8.3). Keduanya memerlukan pengguna terautentikasi yang memiliki cakupan mcp:write atau a2a:write. Buletin tersebut juga mencakup CVE-2026-104019, injeksi perintah OS dalam skrip validasi startup Studio Space yang digunakan oleh Amazon SageMaker Unified Studio, dengan skor 9.0 kritis menurut CVSS 3.1, yang menurut AWS telah diperbaiki di sisi server dengan perubahan sanitasi global yang diterapkan pada restart Space berikutnya.

Setelah peningkatan versi, AWS meminta operator untuk merotasi secret klien OAuth2 untuk integrasi MCP dan A2A, mencabut dan menerbitkan ulang token yang aktif selama jendela yang terdampak, dan — jika kredensial peran kontainer berhasil diakses — merotasi kredensial sesi peran IAM serta meninjau CloudTrail.

Mengapa catatan ini ada di arsip

CVE-2026-103956 dicatat sebagai kerentanan, bukan insiden: ditemukan, belum tentu dieksploitasi, INFRA dan CRED, GLOBAL, tingkat keparahan tinggi, keyakinan tinggi. Nilainya dalam kumpulan catatan adalah sebagai kasus batas untuk seluruh kategori bidang kendali agen. Tugas Loom adalah menyimpan identitas, registrasi server alat beserta kredensial integrasinya, dan kebijakan IAM yang menentukan apa yang boleh disentuh oleh agen — lapisan yang menghubungkan platform agen ke akun cloud tempat ia berada. Pemeriksaan yang hilang di lapisan itu tidak menurunkan kualitas agen; ia mengalihkan seluruh aset. Catatan saudara dalam arsip, pengungkapan AgentCorruption 8 Oktober 2026 terhadap Amazon Bedrock AgentCore, menggambarkan lapisan yang sama yang dicapai melalui jalur berbeda, rantai SSRF dari satu agen yang terpapar publik.

Arsip tersebut mencantumkan setiap insiden agen terdokumentasi yang dimuatnya, masing-masing dengan sumber, tingkat keparahan, nilai keyakinan, dan penanda sengketanya sendiri, di samping catatan ini. Artikel ini membahas satu catatan dalam kumpulan itu, dan catatan itulah tempat klasifikasi lengkap per bidang berada.

Ini adalah satu catatan, yang diteliti dan dilaporkan oleh pihak lain dan dikutip di sini untuk mereka. Lapisan Loom sendiri — identitas, pendaftaran server alat, dan kebijakan IAM yang menentukan apa yang boleh disentuh agen — adalah lapisan yang entri-entri saudara di arsip insiden AI juga menjangkau, dan setiap catatan itu membawa sumber-sumbernya sendiri, tingkat keparahan, tingkat keyakinan, dan tanda yang diperdebatkan.