AWSは2026年4月6日、Research and Engineering Studio on AWS、RESに関するセキュリティ情報 2026-014-AWS を公開し、3件の脆弱性を公表しました。対象はオープンソースの研究・技術計算向けポータルであるRESで、CVE-2026-5707、CVE-2026-5708、CVE-2026-5709が含まれます。AWSは影響バージョンを 2025.12.01 以下と案内し、修正版として RES 2026.03 への更新を推奨しています。
概要
CVE-2026-5707 は、仮想デスクトップのセッション名の扱いに起因するコマンドインジェクションです。AWSの公開情報では、Virtual Desktop Session name フィールドの入力が適切に検証、無害化されておらず、VDIセッションを停止後に再開する際、セッション名を含むSSMコマンドがEC2インスタンス上で実行されるため、細工したセッション名によって root 権限でコマンドを実行できると説明されています。
CVE-2026-5708 は、セッション作成処理における権限昇格です。一次情報では、CreateSession API 呼び出し時に外部の instance_profile_arn を指定できてしまい、既定のインスタンスプロファイルを差し替えられる問題として説明されています。その結果、攻撃者は Virtual Desktop Host のインスタンスプロファイル権限を引き受け、AWSリソースやサービスとやり取りできる可能性があります。
CVE-2026-5709 は、FileBrowser の List Files API に起因するコマンドインジェクションです。AWSのGitHub issueでは、ファイルパラメータのパスが適切に無害化されておらず、シェルのメタ文字を混ぜた入力により、cluster-manager 上で任意コマンドを実行できると説明されています。AWSのセキュリティ情報でも、FileBrowser 機能利用時に crafted input により cluster-manager EC2 instance 上でコマンド実行に至り得ると案内されています。
対象バージョン
全体としてAWSは、影響バージョンを 2025.12.01 以下としています。
ただし、CVEごとに範囲は少し異なります。
CVE-2026-5707 は 2025.03 から 2025.12.01、CVE-2026-5708 は 2026.03 より前のバージョン、
CVE-2026-5709 は 2024.10 から 2025.12.01 が対象です。修正版はいずれも RES 2026.03 です。
AWSのGitHubリリースでも、RES 2026.03 の security fixes として、FileBrowser component の権限昇格、session name injection 経由の cross-user remote code execution、external instance profile ARN を使えてしまう問題の修正が列挙されています。一次情報同士で見ても、今回の修正がこの3件に対応したものだと整理できます。
対策
基本対策は、RES 2026.03 以降への更新です。AWSはセキュリティ情報で最新版へのアップグレードを推奨しており、fork や派生コードについても修正を取り込むよう求めています。GitHubリリースでも、2026.03 に今回の security fixes が含まれていることが確認できます。
関連記事
AWSとGoogle CloudのCLIツールで情報漏洩の脆弱性 LeakyCLIが発生
Red Hat(レッドハット)、GitLabへ不正アクセス 2.8万リポジトリ 570GB流出の恐れ-製品への影響は否定
AWS CodeBuildの設定不備を起点にAWS 公式 GitHubのリポジトリが乗っ取られる恐れ-CodeBreach
CitrixがWindows VDAの権限昇格脆弱性（CVE-2025-6759）
WindowsのTCP/IP IPv6を使用する全てのシステムに影響を与える緊急度の高い 脆弱性(CVE-2024-38063)
Red Hat OpenShift AI に深刻な権限昇格の脆弱性(CVE-2025-10725)
Juniper（ジュニパー）深刻な脆弱性で緊急アップデートをリリース（CVE-2024-2973）
Kubernetes向けWeb UI「Headlamp」に認証情報キャッシュの脆弱性(CVE-2025-14269)
TikTok(ティックトック)がアカウント 乗っ取りに悪用された脆弱性を修正
