CVE-2026-112407 – Attribution de privilèges incorrecte dans AWS CICD-toolchain-for-serverless-applications
ID du bulletin : 2026-141-AWS
Portée : AWS
Type de contenu : important (nécessite une attention particulière)
Date de publication : 20/10/2026 13 h 30 (heure du Pacifique)
Description :
CICD-toolchain-for-serverless-applications est un exemple d’application AWS qui fournit un pipeline CI/CD pour les applications sans serveur via AWS Serverless Application Repository. Nous avons identifié CVE-2026-112407, une attribution de privilèges incorrecte dans la politique IAM d’AWS CICD-toolchain-for-serverless-applications avant la version 1.0.11 qui permet aux utilisateurs authentifiés distants disposant d’un accès push au référentiel des sources de l’application d’augmenter leurs privilèges et d’accéder à des ressources extérieures à la pile d’applications ou de les modifier sur le même compte AWS via des modèles d’application déployés par le pipeline de la chaîne d’outils.
Versions concernées : =1.0.7 ET <=1.0.10
Résolution :
Ce problème a été résolu dans la version 1.0.11 de CICD-toolchain-for-serverless-applications. Nous vous recommandons de mettre à niveau les piles d’outils existantes vers la version 1.0.11 ou une version ultérieure et de vous assurer que tout code issu d’un fork ou dérivé est corrigé pour intégrer les nouveaux correctifs.
Solutions de contournement :
Aucune solution de contournement n’est disponible.
Références :
Remerciements :
Nous tenons à remercier Changli, de l’université de Xidian, pour sa collaboration sur ce problème dans le cadre du processus coordonné de divulgation des vulnérabilités.
Veuillez envoyer un e-mail à aws-security@amazon.com si vous avez des questions ou des préoccupations relatives à la sécurité.