CVE-2026-112407: Asignación de privilegios incorrecta en AWS CICD-toolchain-for-serverless-applications
ID del boletín: 2026-141-AWS
Alcance: AWS
Tipo de contenido: Importante (requiere atención)
Fecha de publicación: 20/10/2026 13:30 h PDT
Descripción:
CICD-toolchain-for-serverless-applications es una aplicación de muestra de AWS que aprovisiona una canalización de CI/CD para aplicaciones sin servidor a través del repositorio de aplicaciones sin servidor de AWS. Identificamos la vulnerabilidad CVE-2026-112407, una asignación de privilegios incorrecta en la política de IAM de AWS CICD-toolchain-for-serverless-applications anterior a la versión 1.0.11, que permite a los usuarios autenticados de forma remota con acceso de inserción al repositorio de origen de la aplicación escalar privilegios y acceder o modificar recursos ajenos a la pila de aplicaciones de la misma cuenta de AWS mediante plantillas de aplicaciones implementadas por la canalización de la cadena de herramientas.
Versiones afectadas: =1.0.7 Y <=1.0.10
Resolución:
Este problema se ha abordado en la versión 1.0.11 de CICD-toolchain-for-serverless-applications. Recomendamos actualizar las pilas de cadenas de herramientas existentes a la versión 1.0.11 o posterior y asegurarse de que cualquier código bifurcado o derivado se haya parcheado para incorporar las nuevas correcciones.
Soluciones alternativas:
No hay ninguna solución alternativa disponible.
Referencias:
Reconocimiento:
Queremos dar las gracias a Changli, de la Universidad de Xidian, por colaborar en este problema a través del proceso coordinado de divulgación de vulnerabilidades.
Envíe un correo electrónico a aws-security@amazon.com si tiene alguna pregunta o inquietud sobre seguridad.