CVE-2026-112407 – AWS CICD-toolchain-for-serverless-applications での誤った特権割り当て
速報 ID: 2026-141-AWS
スコープ: AWS
コンテンツタイプ: 重要 (注意が必要)
公開日: 2026 年 10 月 20 日午後 1 時 30 分 (PDT)
説明:
CICD-toolchain-for-serverless-applications は、AWS Serverless Application Repository を通じてサーバーレスアプリケーション向けの CI/CD パイプラインをプロビジョニングする AWS サンプルアプリケーションです。AWS は、バージョン 1.0.11 より前の AWS CICD-toolchain-for-serverless-applications の IAM ポリシーにおける誤った特権割り当てである CVE-2026-112407 を特定しました。この脆弱性により、アプリケーションソースリポジトリに対するプッシュアクセスを持つリモート認証済みユーザーが、ツールチェーンパイプラインによってデプロイされたアプリケーションテンプレートを介して、同じ AWS アカウント内のアプリケーションスタック外のリソースにアクセスすることや、そのリソースを変更することが可能になります。
影響を受けるバージョン: =1.0.7 および <=1.0.10
解決方法:
この問題は、CICD-toolchain-for-serverless-applications バージョン 1.0.11 で対処されています。既存のツールチェーンスタックをバージョン 1.0.11 以降にアップグレードし、フォークしたコードや派生コードにパッチを適用して新しい修正を反映させることをお勧めします。
回避策:
利用可能な回避策はありません。
参考情報:
謝辞:
協調的脆弱性開示プロセスを通じて、この問題に協力してくださった Xidian University の Changli 氏に感謝いたします。
セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com まで E メールでお問い合わせください。