FlawOpen

flawopen.com/Teardowns/cve-2026-105812-bedrock-agentcore-generated-code-injection

● CVE-2026-105812 · CVSS v4 8.8 · 高危
安全研究 · FlawOpen

CVE-2026-105812：AgentCore 导入器代码注入

在 Bedrock AgentCore Starter Toolkit 0.3.13 及更早版本中，智能体配置可能未经安全编码就写入生成的 Python。另一名用户导入智能体并随后运行或部署时，生成代码可能以该用户的本地权限或 AgentCore Runtime 执行角色运行。升级软件包不会修复此前生成的制品。[1], [2], [3]

💡 通俗易懂的原理解析 (ELI5)

导入器就像一台标签打印机，把智能体设置转换成 Python 指令。修复前，部分值未经安全转义就被粘贴到引号之间。数据中的引号可能提前结束字符串，让后续内容被解释为 Python 语法。修复会将值编码成 Python 字符串字面量，使其保持为数据。[2], [5]

核心概念与专有名词

智能体导入
Starter Toolkit 的工作流：读取 Bedrock 智能体配置，并为 Strands 或 LangChain 等框架生成本地 Python 项目。[2], [5]
代码生成
将程序模板与配置值或其他输入组合，以构造源代码。[2], [5]
Python 字符串字面量
在源代码中将文本表示为数据的记法。repr() 会返回带引号且字符已转义的表示，避免字符成为 Python 语法。[5]
CWE-94
代码生成控制不当：输入数据未经安全编码便插入生成的源代码。[2], [3]
生成制品
导入智能体后产生的本地或已部署代码。AWS 指出，受影响的制品必须替换；仅升级导入器并不足够。[1], [2]

框架映射

  • 本指南所述弱点的 CWE 参考： CWE-94

根本原因剖析 (Root Cause)

存在漏洞的导入转换器使用 f-string 和模板构造 Python 源码，并直接插入 Bedrock 智能体中的值，包括提示词和其他配置字段。包含 Python 字符串分隔符的值可能脱离预期的文本上下文。0.3.14 补丁加入基于 repr(str(value)) 的 python_string_literal()，以及用于规范化 JSON 兼容数据的 python_data_literal()，并让生成的字符串通过这些编码函数。维护者公告界定了攻击链：同一 AWS 账户内的已认证主体必须能够修改智能体数据；随后另一名用户导入智能体，再运行或部署生成的项目。代码以导入者的本地权限或 AgentCore Runtime 执行角色运行。AWS 表示，升级无法修复受影响版本生成的制品；应使用 0.3.14 或更高版本重新导入，并替换本地及已部署输出。CVE-2026-106032 是另一问题，涉及导入期间处理外部 OpenAPI 引用，并非此处的代码生成漏洞。

生成代码缺陷的可达条件

边界已记录的条件防御措施
Toolkit 版本0.3.13 及更早版本会在未安全编码字面量的情况下，将部分值写入生成的 Python。升级到 0.3.14 或更高版本，或迁移到 @aws/agentcore。
谁能修改数据同一 AWS 账户中的已认证主体可以修改 Bedrock Agent 的相关字段。仅向可信主体授予代理数据写入权限。
另一用户导入另一用户通过受影响的 Starter Toolkit 流程导入已修改的代理。将其他主体提供的代理数据视为不可信，并在导入前检查其来源。
执行触发条件导入者运行或部署生成的项目后，代码会以其本地权限或 AgentCore Runtime 角色运行。使用隔离且遵循最小权限的凭证和运行时角色进行导入与测试。
已生成的产物升级软件包不会修复先前由受影响版本生成的项目。使用修复版本重新导入，并替换本地和已部署的产物。

攻击执行流程分解

步骤 1

同一账户中的主体能够修改智能体数据

前提是 AWS 账户内的已认证主体有权限更改相关 Bedrock Agent 字段，例如操作组 schema、协作指令或提示词覆盖值。[2]

步骤 2

另一名用户导入智能体

受影响的 Starter Toolkit 工作流读取被修改的数据并生成 Python 项目。漏洞位于生成源码边界；普通导入不会立即执行结果。[2], [5]

步骤 3

未编码的值进入 Python 源码

在 0.3.13 及更早版本中，部分自由格式配置值未经安全的字面量编码，就被插入带引号的 Python 模板文本。[2], [5]

步骤 4

生成的项目被运行或部署

用户运行或部署导入的智能体时，生成代码可能以用户本地权限或 AgentCore Runtime 执行角色运行。[1], [2]

步骤 5

升级并替换已生成输出

0.3.14 增加了 Python 字面量编码。使用修复版本重新导入并替换本地和部署输出；AWS 建议从已弃用的 Starter Toolkit 迁移到 @aws/agentcore。[1], [5]

源代码对比：漏洞与安全实现

这段上游补丁片段显示，存在漏洞的转换器会把配置直接插入三引号 Python 字符串。修复将完整文本传给 python_string_literal()，由 repr() 将其转义为数据。0.3.14 还把相同编码原则用于其他生成字符串和 JSON 兼容数据，并添加回归测试解析输出，确认标记文本仍是字符串常量。该片段用于分析源码，不包含注入值或可运行的利用代码。[2], [5]

源码摘录: services/import_agent/scripts/base_bedrock_translate.py 和 services/import_agent/utils.py：PRE_PROCESSING 提示词相关代码片段

存在漏洞的实现
# 0.3.14 修复前：模板值会直接插入使用三引号的 Python 源码。
self.prompts_code += f"""
    PRE_PROCESSING_TEMPLATE=\"""\n
    {config["basePromptTemplate"]["system"]}
    \"""
"""
加固后的安全修复
# 0.3.14：将完整值编码为 Python 字符串字面量
prompt = f"\n\n    {config['basePromptTemplate']['system']}\n    "
self.prompts_code += f"\n    PRE_PROCESSING_TEMPLATE={python_string_literal(prompt)}\n"

# services/import_agent/utils.py
def python_string_literal(value: Any) -> str:
    return repr(str(value))

工程与系统安全加固清单

参考来源