CVE-2026-112407: atribuição incorreta de privilégios no AWS CICD-toolchain-for-serverless-applications
ID do boletim: 2026-141-AWS
Escopo: AWS
Tipo de conteúdo: importante (requer atenção)
Data de publicação: 20/10/2026 13h30 PDT
Descrição:
O CICD-toolchain-for-serverless-applications é uma aplicação de amostra da AWS que provisiona um pipeline de CI/CD para aplicações com tecnologia sem servidor por meio do AWS Serverless Application Repository. Identificamos o CVE-2026-112407, uma atribuição incorreta de privilégios na política do IAM do AWS CICD-toolchain-for-serverless-applications anterior à 1.0.11 que permite que usuários remotos autenticados com acesso push ao repositório de origem da aplicação aumentem privilégios e acessem ou modifiquem recursos fora da pilha de aplicações na mesma conta da AWS por meio de modelos de aplicações implantados pelo pipeline da cadeia de ferramentas.
Versões afetadas: =1.0.7 E <=1.0.10
Resolução:
Esse problema foi resolvido no CICD-toolchain-for-serverless-applications versão 1.0.11. Recomendamos atualizar as pilhas da cadeia de ferramentas existentes para a versão 1.0.11 ou posterior e garantir que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções.
Soluções alternativas:
Não há solução alternativa disponível.
Referências:
Reconhecimento:
Gostaríamos de agradecer a Changli da Xidian University pela colaboração nessa questão por meio do processo coordenado de divulgação de vulnerabilidades.
Envie um e-mail para aws-security@amazon.com com qualquer dúvida ou preocupação relacionada à segurança.