CVE-2026-4270 - Desvio da restrição de acesso a arquivos do MCP da API da AWS
ID do boletim: 2026-007-AWS
Escopo: AWS
Tipo de conteúdo: Importante (requer atenção)
Data de publicação: 16/03/2026 9:15 PDT
Descrição:
O servidor MCP da API da AWS é um servidor de protocolo de contexto para modelos (MCP) com código aberto que permite que os assistentes de IA interajam com os serviços e recursos da AWS por meio de comandos da AWS CLI. Ele fornece acesso programático para gerenciar sua infraestrutura da AWS e, ao mesmo tempo, manter os controles de segurança apropriados.
Esse servidor atua como ponte entre os assistentes de IA e os serviços da AWS, permitindo criar, atualizar e gerenciar recursos da AWS entre todos os serviços disponíveis. O servidor inclui um recurso configurável para acesso a arquivos que controla como os comandos da AWS CLI interagem com o sistema de arquivos local. Por padrão, as operações de arquivo ficam restritas a um diretório de trabalho designado (workdir), mas isso pode ser configurado de forma a permitir acesso irrestrito ao sistema de arquivos (unrestricted) ou de forma a bloquear totalmente todos os argumentos do caminho do arquivo local (no-access).
Identificamos o CVE-2026-4270: a proteção inadequada de caminho alternativo existe no recurso no-access e workdir das versões >= 0.2.14 e < 1.3.9 do servidor MCP da API da AWS em todas as plataformas e pode permitir o desvio da restrição pretendida de acesso a arquivos e expor conteúdo arbitrário de arquivos locais no contexto da aplicação cliente MCP.
Versões afetadas: awslabs.aws-api-mcp-server >= 0.2.14, < 1.3.9
Resolução:
Esse problema foi resolvido na versão awslabs.aws-api-mcp-server 1.3.9. Recomendamos atualizar para a versão mais recente e garantir que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções.
Soluções alternativas:
Nenhuma solução alternativa.
Referências:
Agradecimento:
Gostaríamos de agradecer à Varonis Threat Labs por colaborar na resolução deste problema por meio do processo coordenado de divulgação de vulnerabilidades.
Envie um e-mail para aws-security@amazon.com em caso de qualquer dúvida ou preocupação sobre segurança.