重要ポイント
- 何が起きたか: Amazon Linux 2023 の amazon-ssm-agent に4件の脆弱性。ALAS2023-2026-3149(重大度 Critical)
- 一番の問題: CVE-2026-89049。SSRF でリンクローカルアドレスに届き、EC2 の IAM ロールの一時認証情報を取られる恐れ
- その他: CVE-2026-42505、同梱の go-git の CVE-2026-71556・CVE-2026-71557
- 修正版: amazon-ssm-agent-3.3.5226.0-1.amzn2023(AL2023 リリース 2023.12.20260930)
- 公開日: 2026年9月30日
バージョンと対処(まずここを確認)
| 製品 | 影響を受けるバージョン | 修正版(これ以上にする) |
|---|---|---|
| amazon-ssm-agent(Amazon Linux 2023) | 3.3.5226.0-1.amzn2023 より前 | amazon-ssm-agent-3.3.5226.0-1.amzn2023 |
| Amazon Linux 2023 のリリース | 2023.12.20260930 より前 | 2023.12.20260930 |
対処: sudo dnf update amazon-ssm-agent --releasever 2023.12.20260930(または sudo dnf update --advisory ALAS2023-2026-3149 --releasever 2023.12.20260930)。更新後に sudo systemctl restart amazon-ssm-agent。
確認: rpm -q amazon-ssm-agent が 3.3.5226.0-1.amzn2023 以上であること。cat /etc/amazon-linux-release でリリースも確認できます。
概要
2026年9月30日、Amazon Linux 2023 向けに amazon-ssm-agent の更新(ALAS2023-2026-3149、重大度 Critical)が公開されました。SSRF によって EC2 のメタデータに届き、インスタンスに付けた IAM ロールの一時認証情報を取られる恐れのある CVE-2026-89049 など4件を修正しています。SSM Agent は AL2023 の AMI に最初から入っているため、ほぼすべての EC2 で確認が必要です。
影響と対処
影響を受けるもの
amazon-ssm-agent が入っている Amazon Linux 2023 のインスタンスです(AWS 提供の AL2023 AMI には標準で入っています)。修正は 2023.12.20260930 のリリースに含まれます。
どんな問題か
CVE-2026-89049 は SSRF(サーバーに意図しない通信先へリクエストを送らせる問題)で、169.254.x.x のリンクローカルアドレス、つまりインスタンスメタデータサービスに届いてしまう可能性があります。そこから IAM ロールの一時認証情報を取られると、そのロールに許した範囲で AWS の操作をされる恐れがあります。
CVE-2026-71556・CVE-2026-71557 は、SSM Agent が使っている Go のライブラリ go-git の脆弱性です。
対処方法
dnf で amazon-ssm-agent を修正版に更新し、サービスを再起動します。AL2023 はリリースのバージョンが固定されているため、--releasever 2023.12.20260930 を付けて新しいリポジトリから取得します。
一般的な備えとして、インスタンスメタデータは IMDSv2 を必須にし、IAM ロールの権限は必要な範囲だけに絞っておくと、同じ種類の問題が起きたときの被害を小さくできます。
確認方法
rpm -q amazon-ssm-agent で入っているバージョンを確認します。sudo dnf check-update --security --releasever 2023.12.20260930 で、ほかに残っているセキュリティ更新も一覧できます。
対応チェックリスト
- 全 EC2 で
rpm -q amazon-ssm-agentを確認する - 3.3.5226.0-1.amzn2023 に更新し、エージェントを再起動する
- IMDSv2 が必須になっているか確認する
- インスタンスの IAM ロールの権限を見直す
出典
- ALAS2023-2026-3149(Amazon Linux Security Center・2026年9月30日)
