Ausführung beliebigen Codes über manipulierte Projektdateien in der Kiro-IDE
Bulletin-ID: 2026-009-AWS
Geltungsbereich: AWS
Inhaltstyp: Wichtig (erfordert Aufmerksamkeit)
Datum der Veröffentlichung: 17.03.2026, 12.15 Uhr PDT
Beschreibung:
Bei Kiro handelt es sich um eine KI-gestützte IDE für die agentenbasierte Softwareentwicklung. Wir haben CVE-2026-4295 identifiziert. Dabei ermöglicht eine unzureichende Durchsetzung von Vertrauensgrenzen die Ausführung beliebigen Codes, wenn ein Benutzer ein böswillig manipuliertes Projektverzeichnis öffnet.
Betroffene Versionen: < 0.8.0
Lösung:
Dieses Problem wurde in der Version 0.8.0 der Kiro-IDE behoben. Die neueste Version ist hier verfügbar.
Problemumgehungen:
Benutzer, die nicht sofort ein Upgrade durchführen können, sollten davon absehen, nicht vertrauenswürdige Projektverzeichnisse in der Kiro-IDE zu öffnen.
Referenzen:
Bei Fragen oder Bedenken zum Thema Sicherheit senden Sie bitte eine E-Mail an aws-security@amazon.com.