Amazon Web Services (AWS) ha publicado un importante boletín de seguridad abordando tres vulnerabilidades graves en su Research and Engineering Studio (RES).

Estas fallas podrían permitir a atacantes autenticados ejecutar comandos arbitrarios como root y escalar privilegios dentro de un entorno cloud objetivo.

AWS Research and Engineering Studio es un portal web de código abierto diseñado para ayudar a los administradores a crear, gestionar y escalar entornos seguros de investigación e ingeniería basados en la nube.

Dado que estos entornos suelen manejar datos altamente sensibles, AWS insta encarecidamente a los administradores a aplicar los últimos parches de inmediato.

Desglose de las vulnerabilidades

El reciente boletín de seguridad (2026-014-AWS) destaca tres vulnerabilidades distintas que afectan a las versiones 2025.12.01 y anteriores de RES.

Aunque las tres fallas requieren que un atacante tenga acceso autenticado al sistema, ofrecen vías significativas para comprometer la red.

• CVE-2026-5707: Esta vulnerabilidad surge de la falta de sanitización de entrada en el manejo de nombres de sesiones de escritorio virtual de RES.

Un atacante puede explotar esta fallo de inyección de comandos del sistema operativo creando un nombre de sesión malicioso. Si tiene éxito, el actor de la amenaza puede ejecutar comandos arbitrarios con privilegios de root directamente en el host del escritorio virtual. Afecta a las versiones de RES desde 2025.03 hasta 2025.12.01.

• CVE-2026-5708: Esta falla implica un control inadecuado de atributos modificables por el usuario durante la creación de sesiones.

Al enviar una solicitud API cuidadosamente elaborada, un usuario remoto puede escalar sus privilegios para asumir el perfil de instancia del Virtual Desktop Host.

Esto otorga al atacante acceso no autorizado a otros recursos y servicios conectados de AWS. Afecta a todas las versiones anteriores a 2026.03.

• CVE-2026-5709: Similar a la primera falla, esta es una vulnerabilidad de inyección de comandos del sistema operativo ubicada en la API FileBrowser de la plataforma.

Una entrada maliciosa enviada a través de la funcionalidad FileBrowser permite a un atacante ejecutar comandos arbitrarios en la instancia EC2 crítica del cluster-manager. Este problema impacta a las versiones de RES desde 2024.10 hasta 2025.12.01.

Impacto en la seguridad y soluciones

Si no se parchean, estas vulnerabilidades proporcionan a los actores de amenazas una vía para comprometer los hosts de escritorio virtual, tomar el control del cluster-manager y pivotar hacia otros recursos sensibles de AWS.

Una explotación exitosa podría llevar a una exposición significativa de datos, secuestro del sistema o interrupción operativa.

AWS ha resuelto oficialmente estos problemas en la versión 2026.03 de RES. Los equipos de seguridad y los administradores de sistemas deben actualizar sus entornos en la nube a esta última versión lo antes posible.

Además, las organizaciones que utilicen código bifurcado o derivado deben asegurarse de fusionar estos nuevos parches en sus implementaciones personalizadas para evitar exposiciones persistentes.

Para los equipos que no puedan actualizar de inmediato, AWS ha proporcionado soluciones manuales.

Los administradores pueden aplicar parches específicos a sus entornos existentes siguiendo las instrucciones de mitigación publicadas en el repositorio oficial de AWS RES en GitHub.

Estas correcciones manuales abordan específicamente los vectores de inyección de comandos y escalada de privilegios, asegurando la plataforma hasta que sea factible una actualización completa de versión.