Nome do software vulnerável e versões afetadas:

SageMaker Training Toolkit, versões 4.7.0 a 4.7.4

Descrição:

O problema diz respeito ao registro de tokens de autorização do CodeArtifact em arquivos de log quando o recurso CodeArtifact está habilitado. Esses tokens têm validade de 12 horas. Se os arquivos de log forem enviados para fluxos do CloudWatch Logs, qualquer pessoa com acesso a esses logs em sua conta da AWS poderá visualizar o token de autorização. Se o token não tiver expirado, ele poderá ser usado para publicar ou consumir versões de pacotes do CodeArtifact.

Recomendações:

Para as versões 4.7.0 a 4.7.4 do SageMaker Training Toolkit, atualize para a versão 4.8.0 ou superior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso aos logs do CloudWatch para minimizar o risco de exposição do token. Evite enviar arquivos de log contendo tokens de autorização para fluxos de log do CloudWatch até que o problema seja resolvido.