CVE-2026-107608: Falsche Verbindungsauflösung bei der Ausgabebehandlung von Asset Bundling in aws-cdk-lib
Bulletin-ID: 2026-131-AWS-Umfang:
AWS-Inhaltstyp:
Wichtig (erfordert Aufmerksamkeit)
Veröffentlichungsdatum: 10.08.2026 12:30 Uhr PDT
Beschreibung:
AWS CDK ist ein Open-Source-Framework, das es Kunden ermöglicht, eine Cloud-Infrastruktur mit ihrer bevorzugten Programmiersprache (Python, Typescript, C#, Go) aufzubauen. Diese Infrastruktur kann dann mit AWS CDK-Befehlszeilenbefehlen für AWS CloudFormation bereitgestellt werden. Wir haben CVE-2026-107608 identifiziert. Dabei handelt es sich um ein Problem, bei dem Docker-Dateien so konfiguriert werden konnten, dass symbolisch verknüpfte Dateien in die Ausgabe des AWS CDK-Asset-Bündelungsprozesses eingefügt werden, wenn dieser mit einer Docker-Datei aufgerufen wurde. Beim Bündeln eines Assets mithilfe von AWS CDK mit einer Docker-Datei war es vor 2.267.0 für eine Docker-Datei möglich, eine symbolisch verknüpfte Datei oder ein Verzeichnis in die Ausgabe von Asset Bundling einzufügen, ohne dass der Symlink als Eingabe für den Bündelungsprozess bereitgestellt wurde.
Betroffene Versionen: Alle aws-cdk-lib-Versionen vor 2.267.0
Auflösung:
Dieses Problem wurde in der aws-cdk-lib-Version 2.267.0 behoben. Wir empfehlen, auf die neueste Version zu aktualisieren und sicherzustellen, dass jeglicher Fork-Code oder abgeleiteter Code gepatcht ist, um die neuen Korrekturen zu integrieren.
Problemumgehungen:
Wenn Sie nicht sofort ein Upgrade durchführen können, können Sie die Wahrscheinlichkeit verringern, dass unerwartete Informationen gestreamt werden, indem Sie alle Docker-Bundling-Container und ihre Abhängigkeiten überprüfen, um sicherzustellen, dass in der konfigurierten Bundling-Umgebung kein nicht vertrauenswürdiger Code ausgeführt wird.
Referenzen:
Bitte senden Sie eine E-Mail an aws-security@amazon.com, wenn Sie Sicherheitsfragen oder Bedenken haben.