🇰🇷 한글 설명
AWS Research and Engineering Studio(RES) 2026.03 미만 버전의 세션 생성 구성 요소에서 사용자 수정 가능 속성이 적절히 검증되지 않는 취약점이 발견되었습니다. 인증된 원격 사용자가 조작된 API 요청을 통해 권한을 상승시키고 가상 데스크톱 호스트 인스턴스 프로필의 권한을 탈취하여 AWS 리소스와 서비스에 접근할 수 있습니다.
💡 쉬운 설명
로그인이 가능한 사용자가 특수한 요청을 보내 시스템의 관리자 권한을 몰래 뺏을 수 있는 보안 약점입니다. 이를 통해 공격자가 사용자의 권한을 넘어 AWS의 다른 중요한 서비스들까지 마음대로 조작할 위험이 있습니다.
🇺🇸 원문 (English)
Unsanitized control of user-modifiable attributes in the session creation component in AWS Research and Engineering Studio (RES) prior to version 2026.03 could allow an authenticated remote user to escalate privileges, assume the virtual desktop host instance profile permissions, and interact with AWS resources and services via a crafted API request.
To remediate this issue, users are advised to upgrade to RES version 2026.03 or apply the corresponding mitigation patch to their existing environment.
📍 영향받는 시스템
AWS Research and Engineering Studio (RES) version 2026.03 미만
⚔️ 공격 벡터
인증된 사용자가 조작된 API 요청을 통해 세션 생성 시 속성 값을 조작하여 권한 상승 시도
🛡️ 대응 방법
RES 버전을 2026.03 이상으로 업그레이드하거나 해당 마이그레이션 패치를 적용하십시오.
🔧 검증 코드
출력된 버전 번호가 2026.03보다 낮은지 확인하여 취약 여부를 판단합니다.
aws res describe-version --query 'Version' --output text
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
Cisco Identity Services Engine