CVE-2026-107608: Resolución de enlaces incorrecta en el manejo de la salida de paquetes de activos en aws-cdk-lib
ID del boletín: Alcance del 2026-131-AWS
: Tipo de contenido de AWS:
Importante (requiere atención) Fecha de
publicación: 8 de octubre de 2026 a las 12:30 p.m. PDT
Descripción:
AWS CDK es un marco de código abierto que permite a los clientes crear infraestructuras en la nube con su lenguaje de programación favorito (Python, Typescript, C#, Go). Luego, esa infraestructura se puede implementar con los comandos de línea de comandos del CDK de AWS en AWS CloudFormation. Identificamos el CVE-2026-107608, un problema por el que los archivos Docker podían configurarse para insertar archivos enlazados simbólicamente en la salida del proceso de agrupación de activos del CDK de AWS cuando se invocaba con un archivo Docker. Al empaquetar un activo mediante AWS CDK con un archivo docker, antes de la versión 2.267.0, un archivo docker podía insertar un archivo o directorio enlazado simbólicamente en la salida del paquete de activos sin que el enlace simbólico se hubiera proporcionado como entrada al proceso de empaquetado.
Versiones afectadas: todas las versiones de aws-cdk-lib anteriores a la 2.267.0
Resolución:
Este problema se solucionó en la versión 2.267.0 de aws-cdk-lib. Recomendamos actualizar a la versión más reciente y asegurarse de que cualquier código derivado o bifurcado esté parcheado para incorporar las nuevas correcciones.
Soluciones alternativas:
Si no puedes realizar la actualización de forma inmediata, puedes reducir la posibilidad de transmitir información inesperada auditando todos los contenedores de paquetes de Docker y sus dependencias para confirmar que no se ejecuta ningún código que no sea de confianza en el entorno de paquetes configurado.
Referencias:
Envíe un correo electrónico al aws-security@amazon.com si tiene alguna pregunta o inquietud de seguridad.