Vulnerabilidad en Amazon SageMaker (CVE-2024-34073)

sagemaker-python-sdk es una librería para entrenar e implementar modelos de aprendizaje automático en Amazon SageMaker. En las versiones afectadas, la función capture_dependencies en el módulo `sagemaker.serve.save_retrive.version_1_0_0.save.utils` permite la inyección de comandos del sistema operativo (SO) potencialmente inseguro si se pasa un comando inapropiado como parámetro “requirements_path”. En consecuencia, esto puede permitir que un tercero sin privilegios provoque la ejecución remota de código y la denegación de servicio, afectando tanto la confidencialidad como la integridad. Este problema se solucionó en la versión 2.214.3. Se recomienda a los usuarios que actualicen. Los usuarios que no puedan actualizar no deben anular el parámetro "requirements_path" de la función capture_dependencies en `sagemaker.serve.save_retrive.version_1_0_0.save.utils` y, en su lugar, usar el valor predeterminado.