本文へ移動

#CVE-2026-105811

脆弱性の一覧へ戻る

編集部の見出し：QnABot on AWS：Q Business Lambda hook サンプルのユーザー制御キーによる認可回避（点数は未確認）

CVE（NVD）CVSS 7.1 HighEPSS 0.3%

NVD の情報

Authorization bypass through a user-controlled key in the optional Amazon Q Business Lambda hook sample ( q-business-lambda-hook https://github.com/aws-solutions-library-samples/qnabot-on-aws/blob/main/source/docs/lambda_hooks/README.md ), available with QnABot on AWS versions 7.0.0 through 7.4.5, might allow an authenticated remote user to read arbitrary Amazon S3 objects in the deploying AWS account. This sample solution provides an example Lambda hook and requires separate, manual deployment and additional setup. It is not deployed automatically with QnABot. Customers who have not deployed this optional sample hook are not affected and do not need to take action. To remediate this issue, affected customers should update the QnABot on AWS stack to version 7.4.6 or later and then redeploy the Amazon Q Business Lambda hook sample stack. Updating the QnABot on AWS stack alone does not deliver the fix.

公開日
2026-10-06
最終更新（NVD）
2026-10-07
NVD の状態
Awaiting Analysis
脆弱性の種類
CWE-639

深刻度（CVSS）

  • 7.1 HighCVSS 4.0／副／評価：ff89ba41-3aa1-4d27-914a-91399e9639e5CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
  • 6.5 MediumCVSS 3.1／副／評価：ff89ba41-3aa1-4d27-914a-91399e9639e5CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

悪用の状況

CISA KEV には掲載されていません（掲載されていないことは、悪用されていないことの証明ではありません）。

EPSS：今後30日に悪用される推定確率 0.33%（全体の上位 73.3%、評価日 2026-11-04）

解消方法

  • QnABot on AWS のバージョンアップ7.4.6 以降根拠：公告（編集部の転記）

「NVD の条件から推定」は、NVD が影響ありとする版の上限から読み取ったもので、修正版とは限りません。「解消方法の情報なし」は、修正が無いという意味ではありません。必ずベンダーの公告で確認してください。

編集部の記載（レポート掲載時）

レポートの編集部がベンダー公告などから転記した内容です。検証済みの値ではないため、必ず出典で確認してください。

2026-11-04 のレポートQnABot on AWS：Q Business Lambda hook サンプルのユーザー制御キーによる認可回避（点数は未確認）

AWS 公告 2026-126-AWS（Important）。サンプルを別途デプロイした環境のみが対象。

公告に記載の修正版

2026-11-03 のレポートAmazon QnABot on AWS：Amazon Q Business 連携サンプルの認可回避

AWS の深刻度は Important、NVD の 4.0 で 7.1。7.0.0〜7.4.5 が対象。本体を更新したうえでサンプルのスタックも再デプロイが必要。

悪用状況（編集部）：悪用の報告は確認されていない根拠

公告に記載の修正版

  • QnABot on AWS 7.4.6（Lambda フックのサンプルも再デプロイ）公告

参照（NVD）

NVD から取得：2026-11-04T22:50:50.979Z／EPSS 評価日：2026-11-04

This product uses the NVD API but is not endorsed or certified by the NVD.

悪用の確認情報は CISA Known Exploited Vulnerabilities Catalog（NVD 経由で取得）によります。EPSS は FIRST（www.first.org/epss）によります。