AWS Deadline Cloud worker agent: Unsicherer Suchpfad ermöglicht Codeausführung
Zusammenfassung
Der AWS Deadline Cloud worker agent und die OpenJD-Sessions-for-Python-Bibliothek verwenden unter Linux einen unsicheren Suchpfad. Beim Wechsel zum Job-Benutzer führen sie sudo mit dem blossen Namen aus, sodass ein Job ein eigenes sudo-Programm in einem Verzeichnis im PATH ablegen kann. Ein authentifizierter Benutzer, der Jobs an eine Queue übermitteln darf, kann dadurch beliebigen Code als OS-Benutzer des worker agent ausführen und die AWS-Zugangsdaten des Agenten abgreifen. Vom Problem betroffen sind kundenverwaltete Fleets unter Linux; service-verwaltete Fleets wurden serviceseitig behoben und Windows-Worker sind nicht betroffen.
Betroffen
- AWS OpenJD Sessions for Python vor 0.11.0
- AWS Deadline Cloud worker agent vor 0.33.0 unter Linux (kundenverwaltete Fleets)
- Service-verwaltete Fleets: serviceseitig behoben, keine Massnahmen nötig
Behoben in
- OpenJD Sessions for Python 0.11.0
- Deadline Cloud worker agent 0.33.0 (enthält OpenJD Sessions 0.11.0)
Umgehung
- Es gibt keine Konfigurationsmassnahme; ein Update ist die einzige Behebung.
- Bis zum Update das Recht zum Übermitteln von Jobs an betroffene Queues (deadline:CreateJob) auf vertrauenswürdige Principals beschränken.
Ausnutzung
Unbekannt. Zum Zeitpunkt der Recherche wurden keine Hinweise auf Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept gefunden. Der NVD-Eintrag hat weiterhin den Status 'Received'.
Unsere Empfehlung
- Kundenverwaltete worker agents unter Linux auf Version 0.33.0 oder neuer aktualisieren.
- Berechtigungen zum Übermitteln von Jobs bis zum Abschluss des Updates auf vertrauenswürdige Benutzer beschränken.
- AWS CloudTrail auf unerwartete Aktivitäten der Fleet- und Queue-Rollen auf betroffenen Hosts prüfen.
- Bei vermutetem Missbrauch die AWS-Zugangsdaten der betroffenen Worker rotieren.
- Die Behebung vor dem Rollout anhand des AWS-Bulletins und der Herstellerhinweise zur Version überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- AWS Security Bulletin 2026-177-AWS aws.amazon.com
- OpenJD Sessions for Python release 0.11.0 github.com
- Deadline Cloud worker agent release 0.33.0 github.com
- Deadline Cloud worker agent repository github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 20:46.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.