Amazon Strands Agents SDK: Datenoffenlegung an falsche Sitzung im A2A-Server
Zusammenfassung
Die Agent2Agent-Serverkomponente (A2A) des Strands Agents SDK für Python und TypeScript isoliert den Konversationszustand zwischen Aufrufern nicht korrekt. Ein authentifizierter Remote-Benutzer kann den Konversationsverlauf anderer Aufrufer lesen und dauerhafte Anweisungen hinzufügen, die das Modellverhalten für spätere Aufrufer verändern, indem er in HTTP-Anfragen eine andere context_id verwendet. Das Problem ist vor allem in Multi-Tenant-Umgebungen relevant, in denen ein A2A-Endpunkt mehr als einen Benutzer oder Mandanten bedient.
Betroffen
- strands-agents (Python): alle Versionen mit dem Modul multiagent.a2a vor 1.43.0
- @strands-agents/sdk (TypeScript): Versionen vor 1.5.0
Behoben in
- strands-agents (Python): 1.43.0
- @strands-agents/sdk (TypeScript): 1.5.0
- Der Konversationszustand ist nun pro A2A-context_id isoliert.
Umgehung
- Kein Workaround behebt das Problem in betroffenen Versionen vollständig (laut AWS).
- Bis zum Update darf ein A2A-Server nicht für mehr als einen Benutzer oder Mandanten erreichbar sein.
- Wenn mehrere Aufrufer Zugriff benötigen, ist für jeden Benutzer oder Mandanten eine separate A2A-Serverinstanz zu betreiben.
- Das Muster agent_factory ist eine teilweise Übergangslösung, keine Behebung.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Es sind keine Berichte über eine Ausnutzung in freier Wildbahn und keine Einträge als known exploited bekannt.
- In einer kurzen Recherche wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Ermitteln, wo das Strands SDK unter 1.43.0 (Python) oder 1.5.0 (TypeScript) eingesetzt wird, einschliesslich geforktem Code.
- Auf strands-agents 1.43.0 oder @strands-agents/sdk 1.5.0 aktualisieren und betroffene Container oder Images neu erstellen.
- Falls A2A nicht benötigt wird, den A2A-Server deaktivieren oder entfernen.
- In Multi-Tenant-Umgebungen bis zur bestätigten Behebung je Mandant eine separate A2A-Serverinstanz betreiben.
- A2A-Zugriffsprotokolle auf unerwartete context_id-Wiederverwendung prüfen, als Untersuchungsschritt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- AWS Security Bulletin 2026-146-AWS aws.amazon.com
- GitHub Security Advisory GHSA-4v6f-7vjh-6x4m github.com
- PyPI strands-agents 1.43.0 pypi.org
- npm @strands-agents/sdk 1.5.0 www.npmjs.com
- INCIBE-CERT alert CVE-2026-115419 www.incibe.es
- Strands Agents SDK documentation: agent-to-agent strandsagents.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:14.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.