CVE-2026-7461 – FSx Windows File Server のボリューム認証情報を介した Amazon ECS エージェントにおける OS コマンドインジェクション
速報 ID: 2026-024-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
発行日: 2026 年 4 月 30 日 午前 11 時 45 分 (PDT)
説明:
Amazon Elastic Container Service (Amazon ECS) は、コンテナ化されたアプリケーションを簡単にデプロイ、管理、スケールすることを可能にするフルマネージドコンテナオーケストレーションサービスです。Amazon ECS エージェントは、Windows EC2 インスタンスのタスク定義で FSx for Windows File Server をマウントすることをサポートしています。当社は、CVE-2026-7461 を特定しました。これは、FSx ボリュームマウントにおいてコマンドインジェクションが発生し、ECS タスク定義で特別に細工された認証情報を介して SYSTEM 権限でコードを実行できてしまう問題です。
影響を受けるバージョン: Windows 用 ECS エージェントのバージョン 1.47.0 から 1.102.2
解決方法:
この問題の影響を受けるのは ECS Windows ワーカーインスタンスだけです。Fargate の ECS は影響を受けません。この問題は、ECS エージェントバージョン 1.103.0 で解決されています。最新の ECS エージェントバージョンを含む、最新の Amazon ECS に最適化された Windows AMI にアップグレードすることをお勧めします。
回避策:
最新の AMI に更新できないお客様は、ecs: RegisterTaskDefinition のアクセス許可を信頼できる IAM プリンシパルのみに制限し、さらに FSx ボリューム構成で参照される Secrets Manager シークレットへの書き込みアクセスも制限してください。
参考情報:
謝辞:
協調的脆弱性開示プロセスを通じてこの問題に協力してくださった Sachin Patil 氏に感謝いたします。
セキュリティに関する質問や懸念については、aws-security@amazon.com まで E メールでお問い合わせください。