CVE-2026-107608: aws-cdk-lib でのアセットバンドル出力処理のリンク解決が正しくない
速報 ID: 2026-131-AWS
スコープ: AWS
コンテンツタイプ: 重要 (注意が必要)
公開日: 10/08/2026 12:30 PM PDT
説明:
AWS CDK は、お客様が好きなプログラミング言語 (Python、Typescript、C#、Go) を使用してクラウドインフラストラクチャを構築できるようにするオープンソースフレームワークです。その後、そのインフラストラクチャは AWS CDK コマンドラインコマンドを使用して AWS CloudFormation にデプロイできます。CVE-2026-107608 を特定しました。これは、Docker ファイルで呼び出されたときに、Docker ファイルが AWS CDK アセットバンドルプロセスの出力にシンボリックリンクファイルを挿入するように設定できる問題です。2.267.0 より前の AWS CDK を使用してアセットを Docker ファイルでバンドルする場合、Docker ファイルは、シンボリックリンクがバンドルプロセスへの入力として提供されなくても、シンボリックリンクされたファイルまたはディレクトリをアセットバンドルの出力に挿入することができました。
影響を受けるバージョン: 2.267.0 より前のすべての aws-cdk-lib バージョン
解決方法:
この問題は、aws-cdk-lib バージョン 2.267.0 で対処されています。最新バージョンにアップグレードし、フォークコードまたは派生コードにパッチを適用して新しい修正を組み込むことをお勧めします。
回避策:
すぐにアップグレードできない場合は、すべての Docker バンドルコンテナとその依存関係を監査して、設定されたバンドル環境内で信頼できないコードが実行されないことを確認することで、予期しない情報をストリーミングする可能性を減らすことができます。
参考情報:
セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com まで E メールでお問い合わせください。