Loom for AWS มอบสิทธิ์ Super-Admin ให้กับทุกคำขอที่ไม่ได้ยืนยันตัวตน — CVE-2026-103956

เมื่อวันที่ 2 ตุลาคม 2026 AWS ได้เผยแพร่ Security Bulletin 2026-124-AWS โดยเปิดเผยCVE-2026-103956ใน Loom for AWS ซึ่งเป็นแพลตฟอร์มโอเพนซอร์สของ AWS Labs สำหรับการสร้าง ปรับใช้ และจัดการเอเจนต์ AI บน Amazon Bedrock AgentCore Runtime ในการปรับใช้ที่ไม่มีการกำหนดค่าผู้ให้บริการข้อมูลระบุตัวตนใด ๆ dependency ด้านการรับรองความถูกต้องของแบ็กเอนด์ได้มอบข้อมูลระบุตัวตนแบบซูเปอร์แอดมินแบบคงที่ให้กับทุกคำขอที่เข้ามา — รวมถึงคำขอที่ไม่มี Authorization header เลยด้วย ไคลเอนต์ระยะไกลที่สามารถเข้าถึงแบ็กเอนด์ได้สามารถลงทะเบียนเซิร์ฟเวอร์เครื่องมือ อ่านข้อมูลรับรองการผสานรวมที่จัดเก็บไว้ และเขียนนโยบายบทบาท IAM ที่แนบอยู่กับบทบาทของเอเจนต์ที่ถูกจัดการใหม่ได้: การควบคุมด้านการบริหารแบบเต็มรูปแบบของระนาบควบคุมเอเจนต์โดยไม่มีการรับรองความถูกต้องใด ๆ NVD ให้คะแนนช่องโหว่นี้ที่ 10.0 ระดับวิกฤต ภายใต้ทั้ง CVSS 3.1 และ CVSS 4.0 เกียรติสำหรับการค้นพบนี้เป็นของ Kenneth Cox ซึ่งดำเนินการผ่านการเปิดเผยแบบประสานงาน คำแนะนำนี้อธิบายสิ่งที่ช่องโหว่นี้จะเอื้อให้เกิดขึ้นได้ แต่ไม่ได้อธิบายว่าใครได้ทำอะไรกับมันไปบ้าง

สิ่งที่ dependency การยืนยันตัวตนกำลังทำอยู่จริง ๆ

ข้อบกพร่องอยู่ในดีเพนเดนซีการยืนยันตัวตนของแบ็กเอนด์ ตามคำแนะนำ GHSA-vgmj-998f-r8mp ของ GitHub เส้นทางการโค้ดในดีเพนเดนซีการยืนยันตัวตนของแบ็กเอนด์ — get_current_user ฟังก์ชันในแบ็กเอนด์ Loom — คืนค่าตัวตนผู้ดูแลระบบแบบฮาร์ดโค้ด ซึ่งเป็นบัญชีซูเปอร์แอดมินในกลุ่ม g-admins-super เมื่อไม่มี user pool ของ Amazon Cognito และไม่มีผู้ให้บริการข้อมูลประจำตัวภายนอกที่ใช้งานอยู่ มันไม่ได้ตรวจสอบว่าผู้เรียกได้ส่งโทเค็นมาหรือไม่ มันไม่ได้ตกไปสู่การปฏิเสธ มันยังคงคืนค่าตัวตนผู้ดูแลระบบกลับไป

ประกาศของ AWS อธิบายผลลัพธ์ในลักษณะเดียวกันว่า ช่องโหว่นี้ทำให้ไคลเอนต์เครือข่ายรายใดก็ตามสามารถได้รับสิทธิ์ในการบริหารจัดการเต็มรูปแบบเหนือระนาบควบคุมของเอเจนต์ CVE-2026-103956 ถูกแมปไปยัง CWE-306 (การขาดการพิสูจน์ตัวตนสำหรับฟังก์ชันที่สำคัญ) และ CWE-1188 (การเริ่มต้นทรัพยากรตามค่าเริ่มต้นที่ไม่ปลอดภัย) เวกเตอร์ CVSS 3.1 ของ NVD คือ AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — เข้าถึงได้ผ่านเครือข่าย ความซับซ้อนต่ำ ไม่ต้องมีสิทธิ์ ไม่ต้องมีปฏิสัมพันธ์จากผู้ใช้ ขอบเขตเปลี่ยนแปลง ส่งผลกระทบเต็มรูปแบบต่อความลับ ความสมบูรณ์ และความพร้อมใช้งาน

กรอบความคิดสำคัญ และเป็นส่วนที่อธิบายว่าทำไม CVSS 10.0 จึงตกอยู่กับโปรเจกต์โอเพนซอร์สขนาดเล็ก ก็คือการติดตั้งใช้งานที่ไม่มี IdP ไม่ใช่เรื่องแปลกใหม่ การติดตั้ง Loom ใหม่ที่ยังไม่ได้เชื่อมต่อ Cognito เข้ากับระบบก็อยู่ในสถานะนั้นพอดี และเช่นเดียวกันกับการติดตั้งใช้งานที่การกำหนดค่าผู้ให้บริการข้อมูลระบุตัวตนไม่เคยถูกตั้งค่าหรือหยุดทำงาน คำแนะนำดังกล่าวถือว่านี่เป็นภาวะปกติ ไม่ใช่การกำหนดค่าผิดพลาดที่ผู้ดูแลระบบต้องเป็นผู้ก่อขึ้นเอง

สิ่งที่ไคลเอนต์ที่ไม่ได้รับการยืนยันตัวตนสามารถเข้าถึงได้

• การลงทะเบียนเอเจนต์และเซิร์ฟเวอร์เครื่องมือ: ไคลเอนต์อาจลงทะเบียนหรือแก้ไขเซิร์ฟเวอร์เครื่องมือที่เอเจนต์ได้รับอนุญาตให้เรียกใช้ ซึ่งในสถาปัตยกรรมแบบเรียกใช้เครื่องมือ นั่นคือความแตกต่างระหว่างเอเจนต์ที่อ่านตั๋ว กับเอเจนต์ที่รันบางสิ่ง

• ข้อมูลรับรองการเชื่อมต่อที่จัดเก็บไว้: แพลตฟอร์มจัดเก็บข้อมูลรับรองสำหรับระบบภายนอกที่เอเจนต์และเซิร์ฟเวอร์เครื่องมือของตนเชื่อมต่อด้วย และประกาศแจ้งเตือนระบุว่าข้อมูลรับรองเหล่านั้นสามารถถูกอ่านได้

• นโยบายบทบาท IAM สำหรับบทบาทเอเจนต์ที่ได้รับการจัดการ: คำแนะนำนี้อธิบายถึงการเขียนนโยบายบทบาท IAM ที่แนบอยู่กับบทบาทซึ่ง Loom จัดการให้เอเจนต์ของตนขึ้นใหม่ ซึ่งเป็นขั้นตอนที่เปลี่ยนการควบคุมชั้นการประสานงานให้กลายเป็นการควบคุมสิ่งที่เอเจนต์สามารถทำได้ภายในบัญชี AWS

• ทุกสิ่งอื่น ๆ ที่แพลตฟอร์มจัดการ: เอเจนต์ ความจำ ตัวอนุญาตและการกำหนดค่าความปลอดภัย การตั้งค่า — และการเรียกใช้เอเจนต์ใด ๆ ที่การติดตั้งใช้งานรันอยู่

สี่รายการนั้นเป็นรายการของประกาศฉบับนี้เองว่าการเข้าถึงระดับผู้ดูแลระบบเต็มรูปแบบนั้นครอบคลุมถึงสิ่งใด ไม่ใช่การสร้างขึ้นใหม่ ไม่มีการกล่าวอ้างว่าการใช้ประโยชน์จากช่องโหว่ใดได้ใช้รายการใดรายการหนึ่งเหล่านี้

สร้างแล้ว และยังไม่ได้สร้าง

ยืนยันแล้ว ช่องโหว่นี้มีอยู่จริงและได้รับการบันทึกไว้ในแหล่งข้อมูลปฐมภูมิที่ยอมรับร่วมกัน ได้แก่ Security Bulletin 2026-124-AWS ของ AWS ลงวันที่ 2 ตุลาคม 2026 คำแนะนำ GHSA-vgmj-998f-r8mp ของ GitHub ที่เผยแพร่ในวันเดียวกัน และบันทึก CVE-2026-103956 ของ NVD เวอร์ชันที่ได้รับผลกระทบ (ก่อน 1.6.1) คะแนน CVSS การแมป CWE เวอร์ชันที่แก้ไข และการให้เครดิต มีความสอดคล้องกันในทุกแหล่งข้อมูล บันทึกการจัดเก็บถาวรสำหรับเหตุการณ์นี้ได้รับการจัดระดับความเชื่อมั่น A ไม่มีข้อโต้แย้ง และระบุ real_harm เป็น false

ฟิลด์ของบันทึกนั้นเองระบุว่าการเปิดเผยเกิดขึ้นเมื่อวันที่ 2 ตุลาคม 2026 โดยมีความละเอียดถึงระดับวัน และอธิบายข้อกล่าวอ้าง proof-of-concept สาธารณะว่าไม่ได้รับการยืนยัน; ทั้งประกาศและคำแนะนำไม่มีหลักฐานของการโจมตี บันทึกสาธารณะของ NVD สำหรับ CVE-2026-103956 ระบุว่าแค็ตตาล็อกช่องโหว่ที่ถูกใช้โจมตีแล้วของ CISA ว่างเปล่าสำหรับ CVE นี้ และบันทึกเก็บถาวรมีค่า real_harm เป็น false ดังนั้น: ช่องโหว่ที่ไคลเอนต์เครือข่ายซึ่งไม่ผ่านการยืนยันตัวตนสามารถใช้ได้ โดยไม่มีหลักฐานในแหล่งข้อมูลว่ามีใครได้ใช้มันจริง

ยังควรแยกออกจากกันด้วย CVSS 10.0 วัดว่าช่องโหว่นั้นเอื้อให้ทำอะไรได้ ไม่ใช่สิ่งที่มันได้ทำลงไปแล้ว 10.0 ที่ไม่มีการนำไปใช้โจมตีและไม่มีความเสียหายที่บันทึกไว้ถือเป็นเหตุการณ์เกือบเกิด และระบบจัดเก็บถาวรก็จัดเก็บไว้เช่นนั้น

การแก้ไข และช่วงห่างสองเดือนก่อนที่มันจะถูกตั้งชื่อ

AWS แก้ไขปัญหานี้ใน Loom 1.6.1 ซึ่งเผยแพร่เมื่อวันที่ 4 สิงหาคม 2026 วันที่นั้นสำคัญ เพราะการเผยแพร่ดังกล่าวเกิดขึ้นราวสองเดือนก่อนประกาศแจ้งเตือน และหมายเลข CVE ก็ปรากฏต่อสาธารณะแล้ว บันทึกประจำรุ่น v1.6.1 อธิบายการเปลี่ยนแปลงโดยไม่ระบุชื่อ CVE — การบายพาสการยืนยันตัวตนในตอนนี้ต้องมีการเลือกเปิดใช้อย่างชัดเจนบวกกับไคลเอนต์แบบลูปแบ็ก และหากไม่เป็นเช่นนั้นจะล้มเหลวแบบปิดด้วยรหัส 401 — ดังนั้นความรุนแรงของช่องโหว่และการกำหนดหมายเลขของช่องโหว่จึงมองเห็นได้เฉพาะผู้ใช้ Loom ที่ติดตามแหล่งติดตามต่าง ๆ ไม่ใช่ผู้ที่อ่านบันทึกประจำรุ่นเพียงอย่างเดียว รุ่นเดียวกันยังเพิ่มการเสริมความแข็งแกร่งด้าน SSRF สำหรับการดึงข้อมูลเพื่อค้นหา OAuth ด้วย

สำหรับการปรับใช้ที่เปิดเผยอยู่แล้ว แนวทางก่อนการอัปเกรดของ AWS คือให้กำหนดค่า Amazon Cognito user pool หรือผู้ให้บริการข้อมูลระบุตัวตนภายนอกที่ใช้งานอยู่ให้เสร็จสมบูรณ์ก่อนที่แบ็กเอนด์จะสามารถเข้าถึงได้จากนอก loopback ให้ยืนยันว่า LOOM_ALL_UNAUTHENTICATED_LOCAL_DEV ไม่ได้ถูกตั้งค่าไว้นอกการพัฒนาในเครื่อง และให้จำกัดการเข้าถึงเครือข่ายหรือกลุ่มความปลอดภัยไปยังแบ็กเอนด์ในระหว่างนี้ ข่าวประกาศระบุไว้อย่างชัดเจนว่าการจำกัดเครือข่ายช่วยลดโอกาสการเข้าถึงโดยไม่ตั้งใจ แต่ไม่ได้ปิดปัญหาหากไม่ทำการอัปเกรด และ fork รวมถึงโค้ดที่ดัดแปลงก็จำเป็นต้องได้รับการแพตช์เช่นกัน

ประกาศเดียวกัน ข้อบกพร่องต่างกัน

สรุปของบันทึกระบุว่า 2026-124-AWS ไม่ได้เกี่ยวกับ CVE นี้เพียงอย่างเดียว ปัญหาของ Loom อีกสองรายการถูกเปิดเผยในวันเดียวกันและแก้ไขใน Loom 1.7.0: CVE-2026-103957 ซึ่งเป็น SSRF ในการจัดการการค้นพบ OAuth2 ที่อาจส่งข้อมูลลับของไคลเอนต์ OAuth2 หรือโทเค็นการเข้าถึงของผู้ใช้รายอื่นไปยังปลายทางที่ผู้โจมตีควบคุม (CVSS 3.1 6.2, CVSS 4.0 8.2) และ CVE-2026-103958 ซึ่งเป็น SSRF ในการจัดการการเชื่อมต่อเซิร์ฟเวอร์เครื่องมือและเอเจนต์ระยะไกล ที่อาจเข้าถึงที่อยู่ภายในโดยพลการ รวมถึงปลายทางการให้ข้อมูลรับรองของคอนเทนเนอร์ และอ่านการตอบกลับ (CVSS 3.1 7.6, CVSS 4.0 8.3) ทั้งสองต้องใช้ผู้ใช้ที่ผ่านการรับรองความถูกต้องซึ่งมีขอบเขต mcp:write หรือ a2a:write ประกาศยังครอบคลุม CVE-2026-104019 ซึ่งเป็นการฉีดคำสั่ง OS ในสคริปต์ตรวจสอบการเริ่มต้นของ Studio Space ที่ใช้โดย Amazon SageMaker Unified Studio ซึ่งได้คะแนน 9.0 ระดับวิกฤตภายใต้ CVSS 3.1 ซึ่ง AWS กล่าวว่าได้แก้ไขฝั่งเซิร์ฟเวอร์ด้วยการเปลี่ยนแปลงการทำความสะอาดข้อมูลแบบทั่วทั้งระบบที่ใช้เมื่อรีสตาร์ท Space ครั้งถัดไป

หลังการอัปเกรด AWS ขอให้ผู้ปฏิบัติงานหมุนเวียน OAuth2 client secrets สำหรับการผสานรวม MCP และ A2A เพิกถอนและออกโทเค็นใหม่ที่ใช้งานอยู่ในช่วงเวลาที่ได้รับผลกระทบ และ — หากมีการเข้าถึงข้อมูลรับรองของบทบาทคอนเทนเนอร์ — ให้หมุนเวียนข้อมูลรับรองเซสชันของบทบาท IAM และตรวจสอบ CloudTrail

ทำไมระเบียนนี้จึงอยู่ในที่เก็บถาวร

CVE-2026-103956 ถูกบันทึกเป็นช่องโหว่ ไม่ใช่เหตุการณ์: ถูกค้นพบ ไม่จำเป็นต้องถูกใช้ประโยชน์ INFRA และ CRED, GLOBAL, ความรุนแรงสูง ความเชื่อมั่นสูง คุณค่าของมันในชุดบันทึกคือการเป็นกรณีขอบเขตสำหรับหมวดหมู่ทั้งหมดของคอนโทรลเพลนของเอเจนต์ หน้าที่ของ Loom คือถือข้อมูลระบุตัวตน, การลงทะเบียน tool-server พร้อมกับข้อมูลรับรองการผสานรวมของมัน, และนโยบาย IAM ที่กำหนดว่าเอเจนต์สามารถแตะต้องอะไรได้ — ชั้นที่เชื่อมต่อแพลตฟอร์มเอเจนต์เข้ากับบัญชีคลาวด์ที่มันอาศัยอยู่ การตรวจสอบที่ขาดหายไปในชั้นนั้นไม่ได้ทำให้เอเจนต์เสื่อมลง; มันโอนย้ายทรัพย์สินทั้งหมด บันทึกที่เกี่ยวข้องในคลังข้อมูล การเปิดเผย AgentCorruption เมื่อวันที่ 8 ตุลาคม 2026 ต่อ Amazon Bedrock AgentCore อธิบายถึงชั้นเดียวกันที่ถูกเข้าถึงผ่านเส้นทางที่แตกต่างออกไป ซึ่งเป็นห่วงโซ่ SSRF จากเอเจนต์ที่เปิดสู่สาธารณะตัวหนึ่ง

จดหมายเหตุจัดทำรายการอุบัติการณ์ของเจ้าหน้าที่ซึ่งมีบันทึกไว้ทุกรายการที่ตนจัดเก็บ โดยแต่ละรายการมีแหล่งที่มา ระดับความรุนแรง เกรดความเชื่อมั่น และแฟล็กข้อโต้แย้งเป็นของตนเอง ควบคู่ไปกับรายการนี้ บทความนี้ว่าด้วยระเบียนเพียงรายการเดียวในชุดนั้น และระเบียนดังกล่าวเป็นที่ซึ่งการจำแนกประเภทแบบครบทุกฟิลด์ตั้งอยู่

นี่คือบันทึกหนึ่งรายการ ซึ่งผู้อื่นเป็นผู้ค้นคว้าและรายงาน และอ้างอิงไว้ที่นี่เพื่อให้เครดิตแก่พวกเขา เลเยอร์ของ Loom เอง — ตัวตน การลงทะเบียนเซิร์ฟเวอร์เครื่องมือ และนโยบาย IAM ที่กำหนดว่าเอเจนต์อาจแตะต้องอะไรได้ — คือเลเยอร์ที่รายการข้างเคียงใน คลังเหตุการณ์ AI ก็เข้าถึงเช่นกัน และบันทึกแต่ละรายการเหล่านั้นมีแหล่งที่มา ระดับความรุนแรง เกรดความเชื่อมั่น และธงข้อโต้แย้งเป็นของตัวเอง