Защитный разбор AWS Bedrock AgentCore и ghsa-j6g5-3hh3-pgw8: применимость, обратимый тест «разделение имени пакета и аргументов при вызове install_packages без передачи строки в shell», измеримый исход, stop-rule и пакет для поддержки.
Определите, относится ли сигнал к AWS Bedrock AgentCore
Сначала исследуется не severity, а граница «разделение имени пакета и аргументов при вызове install_packages без передачи строки в shell». Запишите версию живого процесса, build digest, путь загруженного компонента, способ установки и включённую функцию. Advisory перечисляет «bedrock-agentcore < 1.18.1; first patched 1.18.1», однако зависимость в manifest не равна доказанной runtime-версии. Отдельно установите, достижим ли путь в вашей конфигурации и какой субъект его вызывает. Если provenance или reachability не подтверждены, оставьте статус unknown.
Фактическая рамка GHSA-j6g5-3hh3-pgw8
Reviewed record опубликован 2026-07-24, обновлён 2026-07-24 и формулирует проблему как «AWS Bedrock AgentCore: Improper neutralization of argument delimiters in the Python SDK install_packages()». Package boundaries: «bedrock-agentcore < 1.18.1; first patched 1.18.1». Upstream https://github.com/aws/bedrock-agentcore-sdk-python подтверждает происхождение кода, но не состояние вашей установки. Даты, affected range и механизм берутся из прямой advisory-страницы. Ни Reviewed record, ни форумный лид не доказывают атаку, ущерб, спрос, индексацию или позицию.
Отдельная боль и наблюдаемые точки: разделение имени пакета и аргументов при вызове install_packages без передачи строки в shell
Узкая пользовательская боль: добавленное пользователем имя пакета может изменить структуру аргументов установки вместо одного ожидаемого элемента. Чтобы не спутать её с ошибкой стенда, заранее задайте независимые поля артефакта: матрица input-class / validation-result / argv-length / shell-called / process-count. Normal-control обязателен: обычное фиктивное имя формирует один ожидаемый элемент argv в перехватчике. Только после него запускают один граничный case. Marker не должен быть credential, реальным идентификатором или пользовательским содержимым. Такое разделение даёт проверяемое дерево решения и не превращает timeout, падение или неверную роль в подтверждение механизма.
Безопасный обратимый опыт
Создайте изолированный Python worker, fake package index, перехватчик argv и два коротких имени-пустышки. Затем нужно передать обычное имя и имя с категорией разделителя в API, не запуская пакетный менеджер, затем сравнить массивы argv. Все операции выполняются в локальной или одноразовой среде с пределами wall-time, CPU, памяти, файлов, сокетов и запросов. Ожидаемый защитный результат задан до запуска: каждое имя остаётся одним валидированным элементом либо отклоняется до запуска; shell не вызывается, счётчик процессов равен нулю. Не используйте production secrets, настоящие документы, внутренние адреса, пользовательские логи или публичные цели. После граничного case очистите fixture, повторите normal-control и сравните baseline digest.
Правило решения без догадок
Решение хранится как матрица input-class / validation-result / argv-length / shell-called / process-count. Passed возможен, когда одновременно наблюдается «каждое имя остаётся одним валидированным элементом либо отклоняется до запуска; shell не вызывается, счётчик процессов равен нулю», normal-control успешен и cleanup возвращает baseline. Failed фиксируют лишь после воспроизводимого расхождения с тем же fixture и лимитами. Not-applicable требует доказанной runtime-версии вне range либо документированно выключенного пути. Unknown остаётся при неполном provenance, нестабильном trace или неоднозначной конфигурации. Одного status code, падения или отсутствия события недостаточно.
Остановка, обновление и пакет для поддержки
Stop-rule этого опыта: остановить опыт при любой попытке создать внешний процесс. Если runtime входит в affected range, обновление получают из доверенного канала https://github.com/aws/bedrock-agentcore-sdk-python, после чего повторяют ровно тот же fixture с прежними лимитами; новый сценарий не подтверждает исправление старого. В обезличенный пакет включают runtime version, digest, конфигурационную ветвь, expected/observed, измеренные лимиты, timestamps, error class и хэши fixtures. Исключите токены, cookies, IP, внутренние имена, абсолютные пути и содержимое данных. Инструкция не обещает абсолютную защищённость.
Материал подготовлен редакцией VOne с помощью ИИ; даты, диапазоны, прямые ссылки, безопасный опыт и отсутствие рекламных обещаний затем перепроверены по первичным источникам.
Источники и проверка
- GitHub Reviewed Advisory ghsa-j6g5-3hh3-pgw8 проверено 2026-08-31
- Upstream-репозиторий aws/bedrock-agentcore-sdk-python проверено 2026-08-31
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.