公告 ID： 2026-13
1-AWS 范围：亚马逊云科技
内容类型：重要（需要注意）
发布日期：太平洋夏令时间   2026 年 8 月 10 日下午 12:30

描述：

AWS CDK 是一个开源框架，允许客户使用他们最喜欢的编程语言（Python、Typescript、C#、Go）构建云基础设施。然后，可以使用AWS CDK命令行命令将该基础设施部署到AWS CloudFormation。我们发现了 CVE-2026-107608，这是一个问题，当使用 Docker 文件调用 AWS CDK 资产捆绑流程时，可以将 Docker 文件配置为将符号链接文件插入其输出中。在 2.267.0 之前，使用 AWS CDK 将资产与 docker 文件捆绑在一起时，如果没有将符号链接作为捆绑过程的输入，docker 文件就可以在资产捆绑的输出中插入符号链接的文件或目录。

受影响的版本：2.267.0 之前的 所有 aws-cdk-lib 版本

解决方案：

此问题已在 aws-cdk-lib 版本 2.267.0 中得到解决。我们建议升级到最新版本，并确保对任何分叉或衍生代码进行修补以纳入新的修复程序。

临时措施：

如果您无法立即升级，则可以通过审计所有 Docker 捆绑容器及其依赖项来减少流式传输意外信息的可能性，以确认在配置的捆绑环境中没有执行任何不可信的代码。

参考文献：

• CVE-2026-107608
• GHSA-h6j4-qpp7-Q28P

如有任何安全问题或疑虑，请发送电子邮件至 1958385191863360   2947428379369276048437。