公告 ID：2026-117-AWS
范围：AWS
内容类型：重要提示（需要注意）
发布日期：2026 年 9 月 24 日上午 10:00（太平洋夏令时）

描述：

Kiro 是用户安装在桌面上的智能体 IDE。我们发现了 CVE-2026-95985。早于 1.0.242 版本的 Kiro IDE 中的文件写入工具可能允许未经身份验证的远程行为者执行任意命令，并将蓄意编制的指令注入智能体上下文中。当用户在蓄意构造的存储库中以不受信任的工作区运行智能体时，发送任何消息都可能导致智能体修改自动加载的全局配置路径。

受影响的版本：< 1.0.242

解决方法：

此问题已在 Kiro IDE 1.0.242 版本中予以解决。建议升级至最新版本。在更早版本的不可信工作区中运行智能体的用户还应检查全局 Kiro 配置目录（macOS 和 Linux 上为 ~/.kiro，Windows 上为 %USERPROFILE%\.kiro）是否存在并非由自己创建的条目。

临时措施：

无。

参考：

• CVE-2026-95985

致谢：

感谢 Dinh Ngoc Dung 通过协调披露流程就此问题与我们协作。

如有任何安全问题或疑虑，请发送电子邮件至 aws-security@amazon.com。