CVE-2026-107608: Risoluzione errata dei collegamenti nella gestione degli output di asset bundling in aws-cdk-lib
ID Bollettino:
2026-131-AWS Ambito di applicazione: Tipo di contenuto AWS:
Importante (richiede attenzione) Data di
pubblicazione: 10/08/2026 12:30 PDT
Descrizione:
AWS CDK è un framework open source che consente ai clienti di creare un'infrastruttura cloud utilizzando il loro linguaggio di programmazione preferito (Python, Typescript, C#, Go). Tale infrastruttura può quindi essere distribuita con i comandi da riga di comando di AWS CDK su AWS CloudFormation. Abbiamo identificato CVE-2026-107608, un problema in cui i file Docker potevano essere configurati per inserire file con collegamenti simbolici nell'output del processo di raggruppamento delle risorse di AWS CDK quando veniva richiamato con un file Docker. Quando si raggruppava una risorsa utilizzando AWS CDK con un file docker, prima della 2.267.0, era possibile che un file docker inserisse un file o una directory con collegamento simbolico nell'output del raggruppamento di risorse senza che il collegamento simbolico fosse fornito come input per il processo di raggruppamento.
Versioni interessate: tutte le versioni di aws-cdk-lib precedenti alla 2.267.0
Risoluzione:
Questo problema è stato risolto nella versione 2.267.0 di aws-cdk-lib. Consigliamo di effettuare l'aggiornamento alla versione più recente e di verificare che qualsiasi codice derivato o derivato sia patchato per incorporare le nuove correzioni.
Soluzioni alternative:
Se non è possibile eseguire immediatamente l'aggiornamento, è possibile ridurre la possibilità di trasmettere informazioni impreviste controllando tutti i contenitori di bundling Docker e le relative dipendenze per confermare che nessun codice non attendibile venga eseguito all'interno dell'ambiente di raggruppamento configurato.
Riferimenti:
Invia un'e-mail al aws-security@amazon.com per eventuali domande o dubbi sulla sicurezza.