Loom for AWS gav varje oautentiserad begäran superadmin — CVE-2026-103956

Den 2 oktober 2026 publicerade AWS säkerhetsbulletin 2026-124-AWS, som avslöjade CVE-2026-103956 i Loom for AWS, AWS Labs plattform med öppen källkod för att bygga, driftsätta och hantera AI-agenter på Amazon Bedrock AgentCore Runtime. I en driftsättning där ingen identitetsleverantör hade konfigurerats gav backendens autentiseringsberoende varje inkommande begäran en fast superadmin-identitet – inklusive begäranden som inte hade någon Authorization-header alls. En fjärrklient som kunde nå backend skulle kunna registrera verktygsservrar, läsa lagrade autentiseringsuppgifter för integrationer och skriva om IAM-rollpolicyerna som är kopplade till hanterade agentroller: fullständig administrativ kontroll över agentens kontrollplan utan någon autentisering. NVD ger sårbarheten betyget 10,0, kritisk, enligt både CVSS 3.1 och CVSS 4.0. Upptäckten tillskrivs Kenneth Cox, som arbetade via samordnad sårbarhetsrapportering. Rådgivningen beskriver vad sårbarheten skulle möjliggöra; den beskriver inte vad någon gjorde med den.

Vad autentiseringsberoendet faktiskt gjorde

Defekten låg i backendens autentiseringsberoende. Enligt GitHub-rådgivningen GHSA-vgmj-998f-r8mp, kodvägen i backendens autentiseringsberoende – den get_current_user-funktionen i Loom-backenden – returnerade en hårdkodad administratörsidentitet, ett superadmin-konto i g-admins-super-gruppen, närhelst ingen Amazon Cognito-användarpool och ingen aktiv extern identitetsleverantör fanns. Den kontrollerade inte om anroparen hade presenterat en token. Den föll inte igenom till en avvisning. Den returnerade administratörsidentiteten ändå.

AWS-bulletinen beskriver konsekvensen på samma sätt: sårbarheten gjorde att vilken nätverksklient som helst kunde få fullständig administrativ behörighet över agentens kontrollplan. CVE-2026-103956 mappas till CWE-306 (avsaknad av autentisering för en kritisk funktion) och CWE-1188 (osäker standardinitiering av en resurs). NVD:s CVSS 3.1-vektor är AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — nåbar över nätverk, låg komplexitet, inga privilegier, ingen användarinteraktion, ändrat omfång, full påverkan på konfidentialitet, integritet och tillgänglighet.

Den viktiga inramningen, och den del som förklarar varför ett CVSS-betyg på 10,0 landade på ett litet projekt med öppen källkod, är att en driftsättning utan IdP inte är exotisk. En färsk Loom-installation som ännu inte har fått Cognito inkopplat befinner sig i exakt det tillståndet, och detsamma gäller en driftsättning vars identitetsleverantörskonfiguration aldrig sattes eller slutade att kunna lösas upp. Rådgivningen behandlar detta som ett vanligt tillstånd snarare än en felkonfiguration som operatören själv hade behövt bjuda in.

Vad en oautentiserad klient skulle kunna nå

• Agentregistreringar och verktygsservrar: klienten kunde registrera eller ändra de verktygsservrar som en agent får anropa, vilket i en arkitektur för verktygsanrop är skillnaden mellan en agent som läser ett ärende och en agent som kör något.

• Lagrade autentiseringsuppgifter för integrationer: plattformen lagrar autentiseringsuppgifter för de externa system som dess agenter och verktygsservrar ansluter till, och bulletinen uppger att dessa var läsbara.

• IAM-rollpolicyer på hanterade agentroller: rådgivningen beskriver hur IAM-rollpolicyerna som är kopplade till de roller som Loom hanterar åt sina agenter skrivs om, vilket är steget som omvandlar kontrollen över orkestreringslagret till kontroll över vad agenterna kan göra i AWS-kontot.

• Allt annat som plattformen hanterar: agenter, minnen, auktoriserare och säkerhetskonfiguration, inställningar – och att anropa vilken agent som helst som driftsättningen kör.

De fyra punkterna är säkerhetsmeddelandets egen lista över vad fullständig administrativ åtkomst når, inte en rekonstruktion. Ingen exploatering påstås ha använt någon av dem.

Etablerad, och inte etablerad

Fastställt. Sårbarheten existerade och är dokumenterad i överenskomna primärkällor: AWS:s säkerhetsbulletin 2026-124-AWS från den 2 oktober 2026, GitHub-rådgivningen GHSA-vgmj-998f-r8mp som publicerades samma dag, och NVD:s post för CVE-2026-103956. De påverkade versionerna (före 1.6.1), CVSS-poängen, CWE-mappningarna, rättningsversionen och erkännandet stämmer överens mellan dem. Arkivposten för denna incident är graderad till konfidens A, inte ifrågasatt, och anger real_harm som false.

Postens egna fält anger att avslöjandet ägde rum den 2 oktober 2026, med dags precision, och beskriver ett offentligt proof-of-concept-påstående som overifierat; varken bulletinen eller rådgivningen innehåller bevis för en attack. NVD:s offentliga post för CVE-2026-103956 listar CISA:s katalog över kända utnyttjade sårbarheter som tom för denna CVE, och arkivposten anger real_harm som false. Så: en sårbarhet som en oautentiserad nätverksklient skulle kunna använda, utan bevis i källorna för att någon gjorde det.

Även värt att hålla isär. CVSS 10,0 mäter vad sårbarheten skulle möjliggöra, inte vad den gjorde. En 10,0 utan utnyttjande och utan dokumenterad skada är en nära miss, och arkivet registrerar den så.

Fixen, och tvåmånadersglappet innan den namngavs

AWS åtgärdade problemet i Loom 1.6.1, som släpptes den 4 augusti 2026. Det datumet spelar roll: utgåvan kom ungefär två månader före bulletinen och CVE-numret fanns offentligt. Versionsanteckningarna för v1.6.1 beskriver ändringen utan att nämna någon CVE – autentiseringskringgåendet kräver nu ett uttryckligt opt-in plus en loopback-klient och fallerar annars stängt med en 401 – så sårbarhetens allvarlighetsgrad och dess beteckning var bara synliga för Loom-användare som följde trackerarna, inte för någon som enbart läste versionsanteckningarna. Samma utgåva lade till SSRF-härdning för OAuth-upptäcktshämtningar.

För distributioner som redan är exponerade är AWS:s vägledning före uppgradering att ha en Amazon Cognito-användarpool eller en aktiv extern identitetsleverantör fullt konfigurerad innan backend är nåbar utanför loopback, att bekräfta att LOOM_ALLOW_UNAUTHENTICATED_LOCAL_DEV inte är inställd utanför lokal utveckling, och att begränsa nätverks- eller säkerhetsgruppsåtkomst till backend under tiden. I bulletinen står det uttryckligen att nätverksbegränsning minskar sannolikheten för oavsedd åtkomst men inte löser problemet utan uppgraderingen, och att forks och härledd kod också behöver patchas.

Samma bulletin, olika brister

Postens sammanfattning noterar att 2026-124-AWS inte bara handlar om denna CVE. Ytterligare två Loom-problem avslöjades samma dag och åtgärdades i Loom 1.7.0: CVE-2026-103957, en SSRF i hanteringen av OAuth2-upptäckt som kunde skicka OAuth2-klienthemligheter eller en annan användares åtkomsttoken till en angriparkontrollerad slutpunkt (CVSS 3.1 6,2, CVSS 4.0 8,2), och CVE-2026-103958, en SSRF i hanteringen av anslutningar för verktygsservrar och fjärragenter som kunde nå godtyckliga interna adresser, inklusive containerns slutpunkt för utlämning av autentiseringsuppgifter, och läsa svaren (CVSS 3.1 7,6, CVSS 4.0 8,3). Båda krävde en autentiserad användare med behörighetsomfånget mcp:write eller a2a:write. Bulletinen täcker även CVE-2026-104019, en OS-kommandoinjektion i startvalideringsskriptet för Studio Space som används av Amazon SageMaker Unified Studio, med betyget 9,0 kritiskt enligt CVSS 3.1, vilket AWS säger sig ha åtgärdat på serversidan med en global saneringsändring som tillämpas vid nästa omstart av Space.

Efter uppgraderingen uppmanar AWS operatörer att rotera OAuth2-klienthemligheter för MCP- och A2A-integrationer, återkalla och utfärda nya token som var aktiva under det påverkade fönstret, och – om containerrollens autentiseringsuppgifter nåddes – rotera IAM-rollens sessionsautentiseringsuppgifter och granska CloudTrail.

Varför denna post finns i arkivet

CVE-2026-103956 är registrerad som en sårbarhet, inte en incident: upptäckt, inte nödvändigtvis utnyttjad, INFRA och CRED, GLOBAL, hög allvarlighetsgrad, hög tillförlitlighet. Dess värde i postmängden är som ett gränsfall för hela kategorin av agentkontrollplan. Looms uppgift är att hålla identiteterna, verktygsserverregistreringarna tillsammans med deras integrationsautentiseringsuppgifter, och IAM-principerna som avgör vad agenter får röra vid — lagret som kopplar en agentplattform till det molnkonto den lever i. En saknad kontroll i det lagret försämrar inte en agent; den överför egendomen. En systerpost i arkivet, AgentCorruption-avslöjandet den 8 oktober 2026 mot Amazon Bedrock AgentCore, beskriver hur samma lager nås via en annan väg, en SSRF-kedja från en enda utåtriktad agent.

Arkivet listar varje dokumenterad agentincident som det innehåller, var och en med sina egna källor, allvarlighetsgrad, konfidensgrad och omstridd-markering, vid sidan av den här. Den här artikeln handlar om en enda post i den uppsättningen, och det är i posten som den fullständiga klassificeringen fält för fält finns.

Detta är en post, undersökt och rapporterad av andra och här citerad med hänvisning till dem. Looms eget lager – identiteter, registreringar av verktygsservrar och de IAM-principer som avgör vad agenter får komma åt – är det lager som syskonposterna i AI-incidentarkivet också når, och var och en av dessa poster bär sina egna källor, allvarlighetsgrad, konfidensgrad och flagga för omstridd status.