QnABot on AWS CVE-2026-105811 보안 이슈, Amazon Q Business Lambda hook 샘플 7.4.6 이상으로 재배포 필요

AWS 보안 공지에 따르면 QnABot on AWS에 포함된 선택형 통합 예제인 Amazon Q Business Lambda hook 샘플에서 인증된 원격 사용자가 배포 계정의 Amazon S3 객체를 임의로 읽을 수 있는 권한 우회 취약점이 확인됐다. 이 이슈는 기본 배포 전체가 아니라 별도 수동 배포가 필요한 샘플 구성에 한정되므로, 운영자는 실제로 해당 샘플을 적용했는지부터 먼저 식별하는 것이 핵심이다.

영향 범위는 선택형 샘플을 수동 배포한 환경으로 한정

이번 이슈는 QnABot on AWS 본체 전체가 자동으로 취약한 구조라는 의미는 아니다. AWS 설명상 문제 지점은 저장소에 포함된 선택형 예제인 q-business-lambda-hook이며, 기본 QnABot 배포 과정에서 자동 적용되지 않는다.

따라서 서버호스팅·클라우드 운영팀은 QnABot 사용 여부만 볼 것이 아니라, Amazon Q Business 연동을 위해 해당 Lambda hook 샘플 스택을 별도로 올렸는지 구성 이력을 확인할 필요가 있다. 샘플을 배포하지 않았다면 추가 조치는 필요하지 않다.

취약한 버전과 가능한 영향

영향 버전은 QnABot on AWS 7.0.0 이상 7.4.5 이하로 제시됐다. AWS는 사용자 제어 키를 통한 권한 우회로 인해 인증된 원격 사용자가 배포한 AWS 계정 내 Amazon S3 객체를 임의로 읽을 수 있을 가능성을 언급했다.

이 특성상 운영 환경에서는 단순 애플리케이션 결함을 넘어 S3에 저장된 지식 베이스 자료, 로그, 업로드 파일 등 연계 데이터 접근 범위를 함께 점검해야 한다. 다만 원문은 실제 악용 사례나 장애 발생 여부까지는 언급하지 않았다.

업데이트만으로 끝나지 않는 대응 절차

AWS가 강조한 핵심은 QnABot 스택만 업데이트해서는 수정이 완료되지 않는다는 점이다. 영향을 받는 고객은 QnABot on AWS 스택을 7.4.6 이상으로 올린 뒤, Amazon Q Business Lambda hook 샘플 스택도 다시 배포해야 한다.

운영 체크리스트는 비교적 명확하다. 첫째, 현재 버전이 7.0.0 이상 7.4.5 이하인지 확인한다. 둘째, q-business-lambda-hook를 실제 배포했는지 확인한다. 셋째, QnABot 스택을 7.4.6 이상으로 업데이트한다. 넷째, 해당 Lambda hook 샘플 스택을 재배포한다. 다섯째, 내부 표준 배포 템플릿이나 미러 저장소에 이전 샘플 구성이 남아 있지 않은지 점검한다.

운영자가 함께 볼 점

멀티채널 챗봇이나 사내 검색 연동 구성을 운영하는 팀이라면, 이번 공지를 계기로 샘플 코드가 운영 환경에 편입된 경로를 정리해 두는 편이 좋다. 특히 개발 단계에서 검증용으로 수동 배포한 스택이 운영 계정에 남아 있는 경우, 자산 목록과 실제 노출 범위가 어긋날 수 있다.

한국·일본 리전 운영 여부와 관계없이 이번 이슈의 판단 기준은 리전이 아니라 샘플 배포 여부와 버전 범위다. 따라서 IDC나 코로케이션 환경에서 AWS 연동형 챗봇 서비스를 운영한다면, 네트워크 경계 장비보다 애플리케이션 구성 이력과 S3 접근 범위 검토가 우선이다.

핵심 포인트

• CVE-2026-105811은 QnABot on AWS의 선택형 Amazon Q Business Lambda hook 샘플에서 확인됐다.
• 영향 버전은 7.0.0 이상 7.4.5 이하이며, 샘플을 수동 배포하지 않은 고객은 영향이 없다.
• 가능한 영향은 인증된 원격 사용자의 Amazon S3 객체 임의 읽기다.
• 대응은 QnABot 7.4.6 이상 업데이트 후 Amazon Q Business Lambda hook 샘플 스택 재배포까지 수행해야 한다.