本文へ移動

#CVE-2026-115415

脆弱性の一覧へ戻る

編集部の見出し：Strands Agents Tools（AWS の AI エージェント用ツール集。環境変数ツールで伏せ字処理を外され、クラウド認証情報が平文で返る）

CVE（NVD）CVSS 5.9 MediumEPSS 0.3%

NVD の情報

Improper neutralization of input used for LLM prompting in the environment tool in Strands Agents Tools before 0.8.6 might allow remote actors to obtain the agent host's environment variables in cleartext, including cloud credentials and API keys, via a crafted prompt that disables the tool's secret masking. To remediate this issue, users should upgrade to version 0.8.6 or later and rotate any credentials that were present in the environment of agents that loaded the environment tool.

公開日
2026-10-28
最終更新（NVD）
2026-10-29
NVD の状態
Awaiting Analysis

深刻度（CVSS）

  • 5.9 MediumCVSS 4.0／副／評価：ff89ba41-3aa1-4d27-914a-91399e9639e5CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
  • 6.5 MediumCVSS 3.1／副／評価：ff89ba41-3aa1-4d27-914a-91399e9639e5CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

悪用の状況

CISA KEV には掲載されていません（掲載されていないことは、悪用されていないことの証明ではありません）。

EPSS：今後30日に悪用される推定確率 0.34%（全体の上位 72.2%、評価日 2026-10-30）

解消方法

  • Strands Agents Tools のバージョンアップ0.8.6 以降根拠：公告（編集部の転記）

「NVD の条件から推定」は、NVD が影響ありとする版の上限から読み取ったもので、修正版とは限りません。「解消方法の情報なし」は、修正が無いという意味ではありません。必ずベンダーの公告で確認してください。

編集部の記載（レポート掲載時）

レポートの編集部がベンダー公告などから転記した内容です。検証済みの値ではないため、必ず出典で確認してください。

2026-10-29 のレポートStrands Agents Tools（AWS の AI エージェント用ツール集。環境変数ツールで伏せ字処理を外され、クラウド認証情報が平文で返る）

公告に記載の修正版

  • Strands Agents Tools 0.8.6公告

参照（NVD）

NVD から取得：2026-10-30T18:25:38.458Z／EPSS 評価日：2026-10-30

This product uses the NVD API but is not endorsed or certified by the NVD.

悪用の確認情報は CISA Known Exploited Vulnerabilities Catalog（NVD 経由で取得）によります。EPSS は FIRST（www.first.org/epss）によります。