CVE-2026-115845 expõe falha na sandbox Python do AWS MCP Server, já corrigida pela AWS

O boletim que a AWS publicou

Em 23 de outubro de 2026, a AWS publicou o boletim 2026-149-AWS, classificado como "Important (requires attention)", sobre o CVE-2026-115845. O problema está no validador de código Python da tool run_script, dentro do AWS MCP Server. Segundo a AWS, uma lista incompleta de entradas proibidas permitia que um usuário remoto autenticado executasse código arbitrário dentro da própria sessão isolada, usando um script Python propositalmente construído para burlar o filtro.

O que é o AWS MCP Server e para que serve o run_script

O AWS MCP Server é um serviço gerenciado que expõe recursos da AWS para agentes de IA através do Model Context Protocol (MCP), o protocolo aberto que padroniza como um modelo de linguagem conversa com ferramentas e fontes de dados externas. Entre as tools que ele oferece está a run_script, que roda scripts Python dentro de um ambiente de sandbox para orquestrar chamadas a APIs da AWS em nome do agente.

Na prática, é a peça que permite a um agente de IA escrever um trecho de código Python, pedir para o MCP Server executá-lo e usar o resultado para decidir o próximo passo, sem que o agente precise de acesso direto às credenciais da conta. O isolamento dessa execução depende do validador aceitar só o que é esperado e recusar o resto.

O risco: fuga de restrição dentro da própria sessão, não entre contas

O boletim é direto sobre o alcance do problema: o código roda "dentro da própria sessão isolada" do usuário já autenticado. Não é descrito como uma fuga entre contas de clientes diferentes, mas como uma fuga das restrições que o sandbox deveria impor dentro da sessão de quem já tem acesso autorizado ao serviço.

Isso ainda é sério. Se o seu agente de IA usa a run_script para rodar código gerado dinamicamente a partir de prompt do usuário final ou de conteúdo externo (um documento, uma página web, a resposta de outra API), e algum desse conteúdo conseguisse injetar um script malicioso, esse código rodaria com mais liberdade do que o sandbox deveria permitir, dentro do contexto daquela sessão.

Por que isso é parte de uma classe maior de risco em agentes de IA

Esse tipo de falha, injeção de conteúdo levando a execução além do escopo pretendido, é conhecido na literatura de segurança de LLM como "excessive agency" ou "insecure plugin/tool design": quando a ferramenta que o agente invoca confia demais no texto que recebe e pouco na barreira de execução em si. O CVE-2026-115845 é um exemplo concreto dessa classe acontecendo dentro de um serviço gerenciado da própria AWS, não de um framework de terceiros.

A correção já está em produção; o workaround é sobre uso, não sobre patch

A AWS classifica as versões impactadas como "N/A (managed service, exclusively hosted)": não existe versão de software para você atualizar, porque a run_script roda inteiramente do lado do serviço. A resolução, segundo o boletim, já foi aplicada no servidor, e "nenhuma ação do cliente é necessária".

Quanto a workaround, a AWS é específica: quem usa a run_script só para orquestrar chamadas a APIs da AWS através de um script Python, sem rodar lógica arbitrária de terceiros, não precisa de nenhuma mitigação adicional. O risco descrito na CVE pressupõe a execução de um script propositalmente malicioso, não o uso normal da tool para montar chamadas de API.

A lição técnica: denylist não contém um interpretador Python

A AWS não divulgou os detalhes do bypass específico, mas o padrão de falha, "lista incompleta de entradas proibidas", é um problema clássico de sandboxes Python baseadas em denylist: bloquear palavras ou funções perigosas (eval, exec, __import__) nunca cobre todos os caminhos, porque o próprio Python expõe o runtime através de atributos de introspecção.

A técnica mais conhecida dessa classe de ataque encadeia atributos dunder para chegar a classes que o denylist não previu, como neste exemplo didático (não é o exploit usado contra o AWS MCP Server, só ilustra a classe de problema):

# padrão clássico de bypass de sandbox por introspecção
objeto_base = ().__class__.__bases__[0]
for subclasse in objeto_base.__subclasses__():
    if subclasse.__name__ == "Popen":
        subclasse(["id"])

É por isso que times de segurança preferem isolamento real, como microVM (Firecracker), contêiner com namespace restrito ou processo separado com syscall filtrado, a validação de código por lista de proibições. Se você constrói sua própria camada de execução para um agente, seja com Bedrock Agents, LangChain ou um MCP Server próprio, vale desconfiar de qualquer sandbox que dependa só de filtrar o texto do script antes de rodá-lo.

Para quem responde por compliance e LGPD: o que registrar

Mesmo sem ação técnica pendente, o boletim interessa a quem mantém o registro de vulnerabilidades de fornecedor para auditoria e para o princípio da responsabilização (accountability) do artigo 6º, inciso X, da LGPD. Pontos para o seu registro:

• Data de publicação do boletim: 23 de outubro de 2026, bulletin ID 2026-149-AWS.
• Classificação da AWS: "Important (requires attention)".
• Status: corrigido do lado do serviço, sem patch ou atualização de versão do lado do cliente.
• Escopo declarado pela AWS: execução dentro da própria sessão isolada do usuário autenticado, não entre contas.
• Se o seu agente usa a run_script para processar conteúdo de terceiros (prompt de usuário final, documento externo) em vez de só orquestrar chamadas de API, vale registrar essa exposição como mitigada nesta data, para efeito de trilha de auditoria.

Para qualquer dúvida sobre o escopo exato do CVE, o boletim traz o contato oficial, aws-security@amazon.com, o canal correto para pedir esclarecimento por escrito quando a documentação interna de compliance exigir confirmação formal da AWS.

Fonte: AWS Security Bulletins