CVE-2026-107332 – Autorisations de fichier par défaut non sécurisées sur les informations d’identification mises en cache dans AWS Toolkit pour Visual Studio Code
ID du bulletin : 2026-129-AWS
Portée : AWS
Type de contenu : Important (nécessite une attention particulière)
Date de publication : 08/10/2026 à 10 h 30 PDT (heure du Pacifique)
Description :
AWS Toolkit pour Visual Studio Code est une extension open source qui permet aux développeurs de travailler avec les services AWS, notamment Amazon CodeCatalyst, depuis Visual Studio Code. Nous avons identifié CVE-2026-107332, un problème dans le gestionnaire de connexions CodeCatalyst. Lorsqu’un utilisateur se connectait à un environnement de développement CodeCatalyst, l’extension mettait en cache le jeton porteur CodeCatalyst de l’utilisateur dans un fichier doté d’autorisations accessibles en lecture par tous et ne supprimait pas le fichier à la fin de la session. Un utilisateur ou un processus local de la même machine ayant accès au système de fichiers a pu lire ce fichier et obtenir le jeton porteur.
Versions concernées : < 4.10.0
Résolution :
Ce problème a été résolu dans la version 4.10.0 d’AWS Toolkit pour Visual Studio Code, publiée le 9 juillet 2026. La version 4.10.0 écrit le fichier de cache des jetons avec des autorisations réservées au propriétaire et le supprime lorsque l’environnement de développement est arrêté. Nous vous recommandons de passer à la dernière version et de vous assurer que tout code issu d’un fork ou dérivé est corrigé pour intégrer les nouveaux correctifs.
Solutions de contournement :
Les utilisateurs qui ne peuvent pas effectuer la mise à niveau immédiatement peuvent supprimer tous les fichiers nommés codecatalyst..token dans le répertoire de stockage global Visual Studio Code de l’extension AWS Toolkit après chaque session.
Références :
Veuillez envoyer un e-mail à aws-security@amazon.com pour toute question ou préoccupation relative à la sécurité.