Loom voor AWS gaf elk ongeauthenticeerd verzoek super-admin — CVE-2026-103956

Op 2 oktober 2026 publiceerde AWS Security Bulletin 2026-124-AWS, met de bekendmaking van CVE-2026-103956 in Loom for AWS, het open-sourceplatform van AWS Labs voor het bouwen, implementeren en beheren van AI-agenten op Amazon Bedrock AgentCore Runtime. In een deployment waarin geen identiteitsprovider was geconfigureerd, gaf de authenticatie-afhankelijkheid van de backend aan elk binnenkomend verzoek een vaste superadmin-identiteit — waaronder verzoeken die helemaal geen Authorization-header bevatten. Een externe client die de backend kon bereiken, kon toolservers registreren, opgeslagen integratiecredentials lezen en de IAM-rolbeleidsregels die aan beheerde agentrollen zijn gekoppeld herschrijven: volledige administratieve controle over het agent-controlplane zonder enige authenticatie. NVD kent de kwetsbaarheid een score van 10,0 toe: kritiek, onder zowel CVSS 3.1 als CVSS 4.0. De eer voor de vondst ging naar Kenneth Cox, die via gecoördineerde openbaarmaking te werk ging. De advisory beschrijft waartoe de kwetsbaarheid in staat zou stellen; er staat niet in wat iemand ermee heeft gedaan.

Wat de authenticatie-afhankelijkheid eigenlijk deed

Het defect zat in de auth-afhankelijkheid van de backend. Volgens de GitHub-advisory GHSA-vgmj-998f-r8mp retourneerde het codepad in de auth-afhankelijkheid van de backend — de get_current_user-functie in de Loom-backend — een hardgecodeerde beheerdersidentiteit, een superadmin-account in de g-admins-super-groep, telkens wanneer er geen Amazon Cognito-gebruikerspool en geen actieve externe identiteitsprovider bestonden. Het controleerde niet of de aanroeper een token had gepresenteerd. Het viel niet door naar een afwijzing. Het retourneerde toch de beheerdersidentiteit.

Het AWS-bulletin beschrijft de consequentie op dezelfde manier: de fout stelde elke netwerkclient in staat volledige administratieve bevoegdheid over het agent-controlelaag te verkrijgen. CVE-2026-103956 is toegewezen aan CWE-306 (ontbrekende authenticatie voor een kritieke functie) en CWE-1188 (onveilige standaardinitialisatie van een resource). De CVSS 3.1-vector van NVD is AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — netwerkbereikbaar, lage complexiteit, geen privileges, geen gebruikersinteractie, scope gewijzigd, volledige impact op vertrouwelijkheid, integriteit en beschikbaarheid.

De belangrijke framing, en het deel dat verklaart waarom een CVSS 10.0 terechtkwam bij een klein open-sourceproject, is dat een deployment zonder IdP niet exotisch is. Een verse Loom-installatie waarbij Cognito nog niet is aangesloten, verkeert precies in die toestand, en dat geldt ook voor een deployment waarvan de configuratie van de identity provider nooit is ingesteld of niet meer werd opgelost. Het advies behandelt dit als een gangbare situatie, niet als een verkeerde configuratie die de operator zelf in het leven heeft geroepen.

Wat een niet-geauthenticeerde client zou kunnen bereiken

• Agentregistraties en toolservers: de client kon de toolservers registreren of wijzigen die een agent mag aanroepen, wat in een tool-calling-architectuur het verschil is tussen een agent die een ticket leest en een agent die iets uitvoert.

• Opgeslagen inloggegevens voor integraties: het platform slaat inloggegevens op voor de externe systemen waarmee zijn agents en toolservers verbinding maken, en het bulletin vermeldt dat deze leesbaar waren.

• IAM-rolbeleid voor beheerde agentrollen: het adviesdocument beschrijft het herschrijven van de IAM-rolbeleidsregels die zijn gekoppeld aan de rollen die Loom voor zijn agents beheert, de stap die controle over de orchestratielaag omzet in controle over wat de agents binnen het AWS-account kunnen doen.

• Al het andere dat het platform beheert: agenten, geheugens, autorisatie- en beveiligingsconfiguratie, instellingen — en het aanroepen van elke agent die de deployment uitvoert.

Die vier punten zijn de eigen lijst van het advies van wat volledige administratieve toegang allemaal kan bereiken, geen reconstructie. Er wordt niet beweerd dat enige exploit een van deze heeft gebruikt.

Vastgesteld, en niet vastgesteld

Vastgesteld. De kwetsbaarheid bestond en is gedocumenteerd in overeengekomen primaire bronnen: AWS' Security Bulletin 2026-124-AWS van 2 oktober 2026, de GitHub-advisory GHSA-vgmj-998f-r8mp die dezelfde dag is gepubliceerd, en NVD's CVE-2026-103956-record. De getroffen versies (vóór 1.6.1), de CVSS-scores, de CWE-toewijzingen, de fixversie en de credit zijn onderling consistent. Het archiefrecord voor dit incident is beoordeeld met betrouwbaarheidsgraad A, niet betwist, en heeft real_harm als false.

De eigen velden van het record plaatsen de openbaarmaking op 2 oktober 2026, met dagprecisie, en beschrijven een publieke proof-of-conceptbewering als ongeverifieerd; noch het bulletin noch het advies bevat bewijs van een aanval. Het openbare record van NVD voor CVE-2026-103956 vermeldt de known-exploitedcatalogus van CISA als leeg voor deze CVE, en het archiefrecord bevat real_harm als false. Dus: een kwetsbaarheid die een ongeauthenticeerde netwerkclient zou kunnen gebruiken, zonder bewijs in de bronnen dat iemand dat heeft gedaan.

Ook dit is het onderscheiden waard. De CVSS 10.0 meet wat de kwetsbaarheid zou toelaten, niet wat ze heeft gedaan. Een 10.0 zonder exploitatie en zonder geregistreerde schade is een near-miss, en het archief slaat het als zodanig op.

De oplossing, en het gat van twee maanden voordat het een naam kreeg

AWS heeft het probleem opgelost in Loom 1.6.1, uitgebracht op 4 augustus 2026. Die datum is belangrijk: de release verscheen ongeveer twee maanden vóór het bulletin en het CVE-nummer was al openbaar. De release-opmerkingen van v1.6.1 beschrijven de wijziging zonder een CVE te noemen — de auth-bypass vereist nu een expliciete opt-in plus een loopback-client, en faalt anders gesloten met een 401 — dus de ernst van de kwetsbaarheid en de aanduiding ervan waren alleen zichtbaar voor Loom-gebruikers die de trackers volgden, niet voor wie alleen de release-opmerkingen las. Dezelfde release voegde SSRF-hardening toe voor OAuth-discovery-fetches.

Voor al blootgestelde implementaties is de richtlijn van AWS vóór de upgrade om een Amazon Cognito-gebruikerspool of een actieve externe identiteitsprovider volledig te configureren voordat de backend bereikbaar is buiten loopback, om te bevestigen dat LOOM_ALLOW_UNAUTHENTICATED_LOCAL_DEV niet is ingesteld buiten lokale ontwikkeling, en om in de tussentijd netwerk- of beveiligingsgroeptoegang tot de backend te beperken. Het bulletin is expliciet dat netwerkbeperking de kans op onbedoelde toegang verkleint, maar het probleem niet oplost zonder de upgrade, en dat forks en afgeleide code ook gepatcht moeten worden.

Zelfde bulletin, andere gebreken

In de samenvatting van het record staat dat 2026-124-AWS niet alleen over deze CVE gaat. Er werden diezelfde dag nog twee Loom-problemen bekendgemaakt en opgelost in Loom 1.7.0: CVE-2026-103957, een SSRF in de afhandeling van OAuth2-discovery waarmee OAuth2-clientgeheimen of het access token van een andere gebruiker naar een door een aanvaller beheerst eindpunt konden worden gestuurd (CVSS 3.1 6.2, CVSS 4.0 8.2), en CVE-2026-103958, een SSRF in de afhandeling van verbindingen met toolservers en externe agents waarmee willekeurige interne adressen konden worden bereikt, waaronder het eindpunt van de container voor het verstrekken van inloggegevens, en de antwoorden konden worden gelezen (CVSS 3.1 7.6, CVSS 4.0 8.3). Voor beide was een geauthenticeerde gebruiker met de scope mcp:write of a2a:write nodig. Het bulletin behandelt ook CVE-2026-104019, een OS-commandinjectie in het opstartvalidatiescript van Studio Space dat wordt gebruikt door Amazon SageMaker Unified Studio, met een score van 9.0 (kritiek) onder CVSS 3.1, die AWS naar eigen zeggen server-side heeft verholpen met een wereldwijde sanerende wijziging die bij de volgende herstart van de Space wordt toegepast.

Na de upgrade vraagt AWS operators om OAuth2-clientgeheimen voor MCP- en A2A-integraties te roteren, tokens die actief waren tijdens het getroffen venster in te trekken en opnieuw uit te geven, en — als er toegang is verkregen tot de inloggegevens van de containerrol — de sessie-inloggegevens van de IAM-rol te roteren en CloudTrail na te kijken.

Waarom dit record in het archief staat

CVE-2026-103956 is geregistreerd als een kwetsbaarheid, niet als een incident: gevonden, niet noodzakelijkerwijs uitgebuit, INFRA en CRED, GLOBAL, hoge ernst, hoge mate van zekerheid. De waarde ervan in de recordset is die van een grensgeval voor de hele categorie van agent-controlplanes. De taak van Loom is om de identiteiten, de toolserverregistraties samen met hun integratiecredentials, en de IAM-beleidsregels die bepalen waartoe agents toegang mogen hebben, te beheren — de laag die een agentplatform verbindt met het cloudaccount waarin het zich bevindt. Een ontbrekende controle in die laag verzwakt een agent niet; ze draagt het volledige bezit over. Een zusterrecord in het archief, de AgentCorruption-openbaarmaking van 8 oktober 2026 tegen Amazon Bedrock AgentCore, beschrijft hoe dezelfde laag via een andere weg werd bereikt: een SSRF-keten vanaf één publiek toegankelijke agent.

Het archief vermeldt elk gedocumenteerd agentincident dat het bevat, elk met zijn eigen bronnen, ernst, betrouwbaarheidsgraad en betwiste vlag, naast dit exemplaar. Dit artikel gaat over één record in die set, en dat record is waar de volledige veld-voor-veldclassificatie zich bevindt.

Dit is één record, onderzocht en gerapporteerd door anderen en hier met verwijzing naar hen aangehaald. De eigen laag van Loom — identiteiten, registraties van tool-servers en het IAM-beleid dat bepaalt waar agents aan mogen komen — is de laag die de zustervermeldingen in het AI-incidentenarchief eveneens bereiken, en elk van die records draagt zijn eigen bronnen, ernstgraad, vertrouwensgraad en betwist-markering.