CVE-2026-112407 – Falsche Rechtezuweisung in AWS CICD-toolchain-for-serverless-applications
Bulletin-ID: 2026-141-AWS
Geltungsbereich: AWS
Inhaltstyp: Wichtig (erfordert Aufmerksamkeit)
Veröffentlichungsdatum: 20.10.2026 13:30 Uhr PDT
Beschreibung:
CICD-toolchain-for-serverless-applications ist eine AWS-Beispielanwendung, die eine CI/CD-Pipeline für Serverless-Anwendungen über das AWS Serverless Application Repository bereitstellt. Wir haben CVE-2026-112407 identifiziert, eine falsche Rechtezuweisung in der IAM-Richtlinie von AWS CICD-toolchain-for-serverless-applications vor Version 1.0.11, die es remote authentifizierten Benutzern mit Push-Zugriff auf das Anwendungsquell-Repository ermöglicht, Berechtigungen zu erweitern und über Anwendungsvorlagen, die von der Toolchain-Pipeline bereitgestellt werden, auf Ressourcen außerhalb des Anwendungsstapels im gleichen AWS-Konto zuzugreifen oder diese zu ändern.
Betroffene Versionen: =1.0.7 UND <=1.0.10
Auflösung:
Dieses Problem wurde in CICD-toolchain-for-serverless-applications Version 1.0.11 behoben. Wir empfehlen, vorhandene Toolchain-Stacks auf Version 1.0.11 oder höher zu aktualisieren und sicherzustellen, dass geforkter oder derivativer Code gepatcht wird, damit die neuen Korrekturen enthalten sind.
Problemumgehungen:
Es ist keine Problemumgehung verfügbar.
Referenzen:
Danksagung:
Wir möchten Changli von der Xidian University für die Zusammenarbeit bei diesem Problem im Rahmen des koordinierten Prozesses zur Offenlegung von Schwachstellen danken.
Bei Fragen oder Bedenken zum Thema Sicherheit wenden Sie sich bitte per E-Mail an aws-security@amazon.com .