CVE-2026-107608: aws-cdk-lib에서 자산 번들링 출력 처리의 부적절한 링크 확인
공지 ID: 2026-131-AWS
범위: AWS
콘텐츠 유형: 중요(주의 필요)
게시 날짜: 10/08/2026 오후 12:30 PDT
설명:
AWS CDK는 고객이 선호하는 프로그래밍 언어(Python, Typescript, C#, Go)를 사용하여 클라우드 인프라를 구축할 수 있는 오픈 소스 프레임워크입니다. 그러면 해당 인프라를 AWS CDK 명령줄 명령을 사용하여 AWS CloudFormation에 배포할 수 있습니다. CVE-2026-107608을 식별했습니다. 이는 Docker 파일을 Docker 파일로 호출할 때 AWS CDK 자산 번들링 프로세스의 출력에 심볼 연결 파일을 삽입하도록 Docker 파일을 구성할 수 있는 문제입니다. AWS CDK를 사용하여 자산을 도커 파일로 번들링할 때 2.267.0 이전에는 도커 파일이 symlink가 번들링 프로세스에 대한 입력으로 제공되지 않은 상태에서 symlink 파일 또는 디렉터리를 자산 번들링의 출력에 삽입할 수 있었습니다.
영향을 받는 버전: 2.267.0 이전의 모든 aws-cdk-lib 버전
해결 방법:
이 문제는 aws-cdk-lib 버전 2.267.0에서 해결되었습니다. 최신 버전으로 업그레이드하고 포크 또는 파생 코드를 패치하여 새 수정 사항을 통합하는 것이 좋습니다.
해결 방법:
즉시 업그레이드할 수 없는 경우 모든 Docker 번들링 컨테이너와 해당 종속성을 감사하여 구성된 번들링 환경 내에서 신뢰할 수 없는 코드가 실행되지 않는지 확인하여 예상치 못한 정보를 스트리밍할 가능성을 줄일 수 있습니다.
참고 사항:
보안 질문이나 우려 사항이 있는 경우 aws-security@amazon.com 로 이메일을 보내 주십시오.