CVE-2026-15737 AWS Bedrock AgentCore Python SDKの機密情報漏洩脆弱性による情報ログ暴露対策ガイド AI Security対応

結論

• 危険度: Medium (CVSS 5.7)
• 対象: (詳細はベンダーアドバイザリ参照)
• 修正: ベンダーアドバイザリ参照
• KEV: No (NVD Critical由来。CISA KEVには未登録)

最終更新: 2026-07-16 ｜ 本記事は公式情報をもとに作成しています。最新情報はベンダー公式アドバイザリを必ずご確認ください。

STEP 1: 何が起きているか

一言でいうと

CVE-2026-15737はAWS Bedrock AgentCore Python SDKで、誤って機密ユーザー情報がログに記録されます。結果として、CloudWatch Logsにアクセスできる認証済みの攻撃者は生のユーザープロンプトやエージェント応答を盗めます。LLMゲートウェイやAgentフレームワーク運用者にとって最優先で対応すべき脆弱性です。

やさしく説明すると

Imagine your smart assistant telling secrets loudly in a public room. この脆弱性はまさにそれと同じで、秘密のやり取りが隠れずに記録され、誰でもそのログを覗ける状態になります。AWSのBedrock AgentCoreのSDKが本来隠すべきユーザーの入力やAIの回答を、ログに丸ごと保存してしまっている問題です。これでは合鍵を持っている人が内部の重要な情報を簡単に盗めてしまいます。

技術的な原因

この問題はCWE-532「不適切な情報公開」に該当します。具体的には、OpenTelemetry（分散トレースの標準計測ツール）がSDKの内部でユーザーのプロンプトや応答をフィルタリングせずにspan属性に書き込みます。spanはAWS CloudWatch Logsのaws/spansグループに送られ、ログの読み取り権限を持つローカル認証済みユーザーが機密情報にアクセスできます。

影響を受けると何が困るか

• CloudWatch Logs閲覧権限者によるユーザープロンプトや応答内容の窃取
• プロンプトインジェクション攻撃の足がかりとなる情報流出
• LLM GatewayやAgentフレームワークの通信内容が漏れて顧客データが知られる
• バイブコーダー開発者が使うCopilotやCursor等の認証情報類の漏洩に繋がる恐れ
• 運用チームのインフラ横展開リスク（ログ情報は社内広範囲で参照されることが多い）

もっと詳しく調べたい人へ — 公式情報源マップ

本記事は以下の公式・準公式の情報源から内容を集約しています。一次情報を確認したい場合や英語で詳細を読みたい場合は、各リンクから直接アクセスできます。

掲載しているのは無料でアクセスできる情報源のみです。CVEによっては掲載がないサイトもあります（特にJVN iPediaは日本国内で報告された脆弱性のみ掲載）。

STEP 2: 急ぎ対応すべきか判断する

結論: 中

判断根拠

• CVSS v3.1 スコアは 5.7 （Medium）。実務的には「中程度の危険度」。高リスクではあるが、即時停止は不要。
• EPSSスコアは未提供（EPSS＝悪用予測確率）。直近の実際の悪用予測データはない。
• ランサムウェア悪用は現時点で確認されていない。
• 公開PoCはGitHub・Exploit Databaseともに存在しない。
• 攻撃にはCloudWatch Logsへのアクセス権を持つ認証済みユーザー権限とユーザー操作が必要。ネットワークから直接攻撃は不可。
• デフォルト設定ではspanにログが記録されるため、対象バージョンは脆弱。

誰が動くべきか

• AWS Bedrock AgentCore Python SDK を使用しているAI Gateway運用チーム
• Agentフレームワーク開発者、特にPython SDK経由でAmazon Bedrockプラットフォームを利用する開発者
• クラウドインフラのSecOpsチームでCloudWatchログ閲覧権限を管理している担当者
• AI駆動開発ツール（Cursor、Cline、Copilot等）でBedrock連携機能を利用しているバイブコーダー開発者

STEP 3: 自分の環境が対象か確認する

影響を受けるバージョン

バージョン確認コマンド

Python (pip)

pip show bedrock-agentcore

出力例:

Name: bedrock-agentcore
Version: 1.5.0
Summary: SDK for Amazon Bedrock AgentCore platform

判定: バージョンが 1.4.8 または 1.5.0 なら脆弱。それ以外は「安全」または修正版を疑う。

Python (pip list + grep)

pip list | grep bedrock-agentcore

出力例:

bedrock-agentcore        1.4.8

判定: 1.4.8または1.5.0なら脆弱。1.5.1以上なら安全。

設定確認

この脆弱性は設定依存ではありません。対象バージョンのSDKを使っているとspanに生データがログされます。したがってバージョン確認が唯一の確認手段です。

Nucleiテンプレートでの検出

本CVEに対応する公開Nucleiテンプレートは存在しません。検出はバージョン確認で行ってください。

STEP 4: 修正を適用する

パッチ適用

Python環境 (pip)

pip install --upgrade bedrock-agentcore

説明: バージョン1.5.1以上にアップグレードしてください。

注意: パッチ適用前に必ず現在の環境と設定のバックアップを取得し、ステージング環境で動作検証を行ってください。また、ダウンタイムの計画を周知してください。

パッチ即時適用ができない場合の暫定対応

公式の暫定対応は提示されていません。CloudWatch Logsのアクセス権限を厳密に管理し、脆弱なロググループへの不要な参照権限を削除してください。また、該当ロググループの定期的なクリーンアップを検討してください。

STEP 5: 修正されたことを確認する

STEP 3で使ったバージョン確認コマンドを再度実行してください。

期待される出力

Python (pip)

pip show bedrock-agentcore

出力例:

Name: bedrock-agentcore
Version: 1.5.1
Summary: SDK for Amazon Bedrock AgentCore platform

判定: バージョンが 1.5.1 以上ならOKです。

追加で確認すべきこと

• CloudWatchのaws/spansロググループを確認し、脆弱なバージョンで記録された機密情報を削除・消去してください。
• 脆弱バージョンでのアクセスログを監査し、不審な参照やアクセスがなかったかチェックしてください。

補足: 悪用観測状況

本脆弱性に関するランサムウェア悪用や公開PoCは現在ありません。GitHubやExploit Databaseにも該当する公開攻撃コードは確認できません。よって現時点では実践的な悪用は報告されていませんが、機密情報が簡単に閲覧できてしまうため油断は禁物です。

補足: CVSSメトリクス詳細

• AV (Attack Vector, 攻撃元): NETWORK ネットワーク経由
• AC (Attack Complexity, 攻撃複雑度): LOW 攻撃は比較的容易
• PR (Privileges Required, 必要権限): LOW 認証済みユーザーの権限レベルが低くても可
• UI (User Interaction, ユーザ操作): REQUIRED 攻撃者は標的の操作を必要とする
• S (Scope, スコープ): UNCHANGED 攻撃がシステム全体に影響しない
• C (Confidentiality, 機密性影響): HIGH 機密情報が漏洩する
• I (Integrity, 完全性影響): NONE データ改ざんは起きない
• A (Availability, 可用性影響): NONE サービス停止等は起きない

よくある質問（FAQ）

Q. このCVEに対応するために最低限すべきことは何ですか？

A. STEP 3で対象バージョンを特定し、STEP 4でSDKのバージョンを1.5.1以上にアップグレードしてください。さらにaws/spansログの機密情報を削除することも重要です。

Q. パッチが適用できない場合、どうすればよいですか？

A. CloudWatch Logsへのアクセス権限を最小限にし、機密的なロググループの権限を制限してください。また定期的に脆弱なログを消去してください。

Q. 既に攻撃を受けているか確認する方法はありますか？

A. CloudWatch Logsのアクセスログや監査記録を調査し、不審なログ閲覧がないかを確認してください。公開されたPoCはまだありません。

Q. なぜEPSSスコアが重要なのですか？

A. CVSSは深刻度を示しますが、EPSSは「実際の悪用確率」を表します。両方を見ることで対応優先度をより正確に判断できます。

Q. このCVEと類似の脆弱性は他にもありますか？

A. CWE-532「不適切な情報公開」の分類には同様にログに機密情報を書き込む問題が含まれます。類似の問題は他のSDKやエージェントでも発生しうるため注意が必要です。

参考文献

• AWS セキュリティアドバイザリ
• GitHub Advisory
• PyPI – bedrock-agentcore 1.5.1 リリース
• NVD CVE-2026-15737

関連トピック・タグから探す

本記事に関連するキーワードから、他のAIセキュリティ記事を探せます。

• Medium脆弱性 に関するCVE・脆弱性記事一覧
• AI Agent に関するCVE・脆弱性記事一覧
• Python に関するCVE・脆弱性記事一覧
• クラウド に関するCVE・脆弱性記事一覧