CVE-2026-112407 - Assegnazione errata dei privilegi in AWS CICD-toolchain-for-serverless-applications
ID Bollettino: 2026-141-AWS
Ambito: AWS
Tipo di contenuto: Importante (richiede attenzione)
Data di pubblicazione: 20/10/2026 13:30 PDT
Descrizione:
CICD-toolchain-for-serverless-applications è un’applicazione di esempio AWS che effettua il provisioning di una pipeline CI/CD per applicazioni serverless tramite Repository dell’applicazione serverless AWS. Abbiamo identificato CVE-2026-112407, un’assegnazione errata dei privilegi nella policy IAM di AWS CICD-toolchain-for-serverless-applications precedente alla versione 1.0.11, che consente a utenti remoti autenticati con accesso push al repository di origine dell’applicazione di acquisire privilegi più elevati e di accedere a risorse esterne allo stack dell’applicazione nello stesso account AWS o modificarle tramite modelli di applicazione distribuiti dalla pipeline della toolchain.
Versioni interessate: =1.0.7 E <=1.0.10
Risoluzione:
Questo problema è stato risolto in CICD-toolchain-for-serverless-applications versione 1.0.11. Consigliamo di aggiornare gli stack toolchain esistenti alla versione 1.0.11 o successiva e di assicurarsi che a qualsiasi codice derivato o di cui è stato eseguito il fork siano applicate le patch per incorporare le nuove correzioni.
Soluzioni alternative:
Non è disponibile alcuna soluzione alternativa.
Riferimenti:
Ringraziamenti:
Ringraziamo Changli della Xidian University per aver collaborato alla risoluzione di questo problema attraverso il processo di divulgazione coordinata delle vulnerabilità.
Invia un’e-mail a aws-security@amazon.com per eventuali domande o dubbi sulla sicurezza.