公告 ID： 2026-141-AWS
范围：AWS
内容类型：重要提示（需要注意）
发布日期：2026 年 10 月 20 日下午 1:30（太平洋夏令时）

描述：

CICD-toolchain-for-serverless-applications 是一个 AWS 示例应用程序，可通过 AWS Serverless Application Repository 为无服务器应用程序配置 CI/CD 管道。我们发现了 CVE-2026-112407，即该工具链 1.0.11 版本之前的 IAM 策略中存在权限分配错误。该问题使拥有应用程序源代码存储库推送权限的远程已认证用户能够提升权限，并通过该工具链管道所部署的应用程序模板，访问或修改同一 AWS 账户内应用程序堆栈之外的资源。

受影响的版本： =1.0.7 且 <=1.0.10

解决方案：

此问题已在 CICD-toolchain-for-serverless-applications 版本 1.0.11 中得到解决。建议您将现有的工具链堆栈升级至 1.0.11 或更高版本；同时，请确保对任何分叉或衍生代码进行修补，以纳入新的修复程序。

临时措施：

暂无可用的临时措施。

参考：

• CVE-2026-112407
• GHSA-f76m-4xrx-pvq5

致谢：

感谢西安电子科技大学的 Changli 通过协调漏洞披露流程就此问题与我们协作。

如有任何安全问题或疑虑，请发送电子邮件至 aws-security@amazon.com。