AWS REX CVE-2026-122193はCritical―設定例で作ったSSMドキュメントの削除を案内

AWSは2026年11月6日09時PST（日本時間7日02時）、Trusted Remote Execution（REX）の導入ガイドに含まれるOSコマンド注入CVE-2026-122193を公表しました。プロジェクトのCVSS v3.1評価は9.9／Critical（緊急）。サンプルから作成したSSMドキュメントを削除するよう案内しています。

REXは管理対象インスタンス上でスクリプトを隔離実行する仕組みです。問題のサンプルはAWS Systems ManagerにRex-ROとRex-RWというドキュメントを作成しますが、呼び出し元の入力処理が不十分でした。実行権限を持つ利用者が細工した値を渡すと、REXのサンドボックスへ渡るはずの入力が、その外側でOSコマンドとして実行されるおそれがあります。scriptArgsも影響します。

対象はREXの特定の配布バージョンではなく、この例に従って作成したSSMドキュメントです。GitHubの版欄には影響版・修正版とも0.1.0とありますが、本文は適用すべきコードパッチがないと明記しています。ライブラリを更新するだけでは、アカウント内に残ったドキュメントの対処になりません。

AWSは例をガイドから削除し、利用者には実行した各アカウント・リージョンのRex-RO／Rex-RWを削除するよう求めています。管理担当者は導入履歴と既存のSSMドキュメントを照合し、依存する運用を確認したうえで公式手順を適用してください。告知には代替の回避策は示されていません。