CVE-2026-107608 : Résolution de liens incorrecte dans la gestion des sorties du regroupement d'actifs dans aws-cdk-lib
ID du bulletin : Champ d'application 2026-131-AWS :
Type
de contenu AWS : Important (nécessite une attention particulière) Date de
publication : 10/08/2026 12:30 PDT
Description :
AWS CDK est un framework open source qui permet aux clients de créer une infrastructure cloud à l'aide de leur langage de programmation préféré (Python, Typescript, C#, Go). Cette infrastructure peut ensuite être déployée à l'aide des commandes de ligne de commande AWS CDK sur AWS CloudFormation. Nous avons identifié le problème CVE-2026-107608, à savoir que les fichiers Docker pouvaient être configurés pour insérer des fichiers liés symboliquement dans la sortie du processus de regroupement d'actifs AWS CDK lorsqu'il était invoqué avec un fichier Docker. Lors du regroupement d'une ressource à l'aide d'AWS CDK avec un fichier docker, avant la version 2.267.0, il était possible pour un fichier docker d'insérer un fichier ou un répertoire à lien symbolique dans la sortie du regroupement d'actifs sans que le lien symbolique n'ait été fourni en entrée du processus de regroupement.
Versions concernées : toutes les versions d'aws-cdk-lib antérieures à la 2.267.0
Résolution :
Ce problème a été résolu dans la version 2.267.0 de aws-cdk-lib. Nous vous recommandons de passer à la dernière version et de vous assurer que tout code bifurqué ou dérivé est corrigé pour intégrer les nouveaux correctifs.
Solutions de contournement :
Si vous ne pouvez pas effectuer la mise à niveau immédiatement, vous pouvez réduire le risque de diffusion d'informations inattendues en auditant tous les conteneurs de regroupement Docker et leurs dépendances afin de vous assurer qu'aucun code non fiable ne s'exécute dans l'environnement de regroupement configuré.
Références :
Veuillez envoyer un e-mail au aws-security@amazon.com pour toute question ou préoccupation de sécurité.