CVE-2026-15895: AWS jsii의 jsii-diff에 OS 명령 삽입
공지 ID: 2026-057-AWS
범위: AWS
콘텐츠 유형: 중요(주의 필요)
게시일: 2026년 7월 15일 오후 12시(PDT)
최근 업데이트 날짜: 2026년 7월 16일 오전 10시 30분(PDT)
설명:
jsii-diff는 두 jsii 어셈블리 간의 API 차이를 비교하고 API에 이전 버전과 호환되지 않는 변경 사항이 있는 경우 오류를 보고하는 명령줄 도구입니다. 특수 형식의 명령줄 인수를 사용하여 이 도구를 통해 쉘 명령을 실행할 수 있는 문제인 CVE-2026-15895를 확인했습니다
영향을 받는 버전: <1.131.0
해결 방법:
이 문제는 jsii-diff 버전 1.131.0에서 해결되었습니다. 최신 버전으로 업그레이드하고, 새로운 수정 사항이 반영되도록 포크되거나 파생된 코드에 패치를 적용하는 것이 좋습니다.
대안:
업데이트할 수 없는 경우 신뢰할 수 있는 행위자만 jsii-diff에 전달된 인수를 제어할 수 있는지 확인하세요.
참고 사항:
도움을 주신 분:
조정된 취약성 공개 프로세스를 통해 이 문제 해결에 도움을 준 Junming Wu에 감사드립니다.
보안 관련 질문이나 우려 사항이 있는 경우 이메일(aws-security@amazon.com)을 통해 문의하세요.