AWS patcht AgentCore-Toolkit gegen Code Injection
AWS behebt Code-Injection- und SSRF-Lücken im AgentCore Starter Toolkit. Betroffen sind Versionen 0.1.4 bis 0.3.13; der Fix steckt in 0.3.14.
AWS hat zwei Schwachstellen im Bedrock AgentCore Starter Toolkit behoben. Version 0.3.14 schließt eine Code-Injection-Lücke sowie fehlerhafte externe Referenzverarbeitung mit SSRF- beziehungsweise Dateizugriffsrisiko.
Versionen 0.1.4 bis einschließlich 0.3.13 des bedrock-agentcore-starter-toolkit waren laut AWS von zwei Import-Schwachstellen betroffen.
AWS hat die Probleme in Version 0.3.14 behoben und empfiehlt ein Upgrade auf die aktuelle Toolkit-Version.
AWS hat am 6. Oktober 2026 ein Sicherheitsbulletin zum bedrock-agentcore-starter-toolkit veröffentlicht. Betroffen sind nach Angaben des Anbieters die Versionen 0.1.4 bis einschließlich 0.3.13. AWS nennt zwei CVEs, die beim Import von Agenten-Code relevant sind.
CVE-2026-105812 beschreibt eine Code-Injection-Schwachstelle. Ein speziell präparierter Agent könnte demnach beim Import und anschließenden Ausführen oder Deployen beliebigen Code zur Ausführung bringen. CVE-2026-106032 betrifft den Umgang mit externen Referenzen und kann laut AWS unbeabsichtigte Netzwerkzugriffe oder lokalen Dateizugriff auslösen.
AWS hat beide Probleme in Version 0.3.14 des Starter Toolkits behoben und empfiehlt ein Upgrade auf die aktuelle Version. Forks oder abgeleitete Implementierungen sollen die entsprechenden Fixes ebenfalls übernehmen.
Der Scope ist wichtig: Das Bulletin betrifft das AWS-gepflegte Open-Source-Python-Paket bedrock-agentcore-starter-toolkit und dessen Importpfad. Es ist keine Aussage, dass der verwaltete AgentCore-Dienst selbst von denselben Schwachstellen betroffen ist. AgentenCode führt die Meldung deshalb als sicherheitsrelevante Tooling-Änderung im AgentCore-Ökosystem.
Für Teams, die Agenten aus bestehenden Bedrock-Setups importieren oder das Toolkit in CI/CD einsetzen, ist die Version des lokalen Tools damit ein konkreter Prüfpunkt. Zusätzlich sollten importierte Agenten-Definitionen wie anderer nicht vertrauenswürdiger Code behandelt und die Netzwerk- sowie Dateirechte des Importprozesses begrenzt werden.
Primärquelle
Worauf diese Meldung basiert
AgentenCode veröffentlicht Produktänderungen erst nach source-first Prüfung. Die Originalquelle bleibt für Details maßgeblich.
AgentenProfil, Trust-Evidence und Historie trennen belegte Eigenschaften von Unknown.
Vollständiger Kontext im AgentenProfil.
AgentenProfil, Trust-Evidence und Historie trennen belegte Eigenschaften von Unknown.