CVE-2026-112407 - AWS CICD-toolchain-for-serverless-applications의 잘못된 권한 할당
공지 ID: 2026-141-AWS
범위: AWS
콘텐츠 유형: 중요(주의 필요)
게시 날짜: 10/20/2026 13:30 PM PDT
설명:
CICD-toolchain-for-serverless-applications는 AWS Serverless Application Repository를 통해 서버리스 애플리케이션에 대한 CI/CD 파이프라인을 프로비저닝하는 AWS 샘플 애플리케이션입니다. 1.0.11 이전 버전의 AWS CICD-toolchain-for-serverless-applications에서 IAM 정책의 잘못된 권한 할당 문제인 CVE-2026-112407을 확인했습니다. 이 문제로 인해 애플리케이션 소스 리포지토리에 대한 푸시 액세스 권한이 있는 원격 인증 사용자가 툴체인 파이프라인에서 배포한 애플리케이션 템플릿을 통해 권한을 상승시키고, 동일한 AWS 계정 내에서 애플리케이션 스택 외부의 리소스에 액세스하거나 이를 수정할 수 있었습니다.
영향을 받는 버전: =1.0.7 및 <=1.0.10
해결 방법:
이 문제는 CICD-toolchain-for-serverless-applications 버전 1.0.11에서 해결되었습니다. 기존 툴체인 스택을 버전 1.0.11 이상으로 업그레이드하고, 새로운 수정 사항이 반영되도록 포크되거나 파생된 코드에 패치를 적용하는 것이 좋습니다.
임시 해결 방법:
사용 가능한 임시 해결 방법이 없습니다.
참고 사항:
도움을 주신 분:
조정된 취약성 공개 프로세스를 통해 이 문제 해결에 도움을 준 Xidian University의 Changli에게 감사드립니다.
보안 관련 질문이나 우려 사항이 있는 경우 aws-security@amazon.com 로 이메일을 보내 주세요.