CVE-2026-107608: Resolução de link inadequada no tratamento de saída de empacotamento de ativos em aws-cdk-lib
ID do boletim: Escopo 2026-131-AWS:
Tipo de
conteúdo da AWS: Importante (requer atenção) Data de
publicação: 10/08/2026 12:30 PDT
Descrição:
O AWS CDK é uma estrutura de código aberto que permite aos clientes criar uma infraestrutura em nuvem usando sua linguagem de programação favorita (Python, Typescript, C#, Go). Essa infraestrutura pode então ser implantada com comandos de linha de comando do AWS CDK no AWS CloudFormation. Identificamos o CVE-2026-107608, que é um problema em que os arquivos do Docker podiam ser configurados para inserir arquivos com links simbólicos na saída do processo de agrupamento de ativos do AWS CDK quando ele era invocado com um arquivo Docker. Ao agrupar um ativo usando o AWS CDK com um arquivo docker, antes da versão 2.267.0, era possível que um arquivo docker inserisse um arquivo ou diretório com link simbólico na saída do agrupamento de ativos sem que o link simbólico fosse fornecido como entrada para o processo de agrupamento.
Versões afetadas: todas as versões do aws-cdk-lib antes de 2.267.0
Resolução:
Esse problema foi resolvido na versão 2.267.0 do aws-cdk-lib. Recomendamos atualizar para a versão mais recente e garantir que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções.
Soluções alternativas:
Se você não puder atualizar imediatamente, poderá reduzir a possibilidade de transmitir informações inesperadas auditando todos os contêineres de empacotamento do Docker e suas dependências para confirmar que nenhum código não confiável é executado dentro do ambiente de agrupamento configurado.
Referências:
Envie um e-mail para aws-security@amazon.com com quaisquer perguntas ou preocupações de segurança.