CVE-2026-107608：aws-cdk-lib 中的資產綁定輸出處理中的連結解析不當
公告 ID： 2026-131-AWS
範圍：AWS
內容類型：重要 （需要注意）
發佈日期： 10/08/2026 12：30 PM PDT
描述：
AWS CDK 是一種開放原始碼架構，可讓客戶使用他們偏好的程式設計語言 (Python、Typescript、C#、Go) 建置雲端基礎設施。然後，該基礎設施就可以使用 AWS CDK 命令列命令部署到 AWS CloudFormation。我們識別出 CVE-2026-107608，這是一個問題，其中 Docker 檔案可以設定為在使用 Docker 檔案調用時，將符號連結檔案插入 AWS CDK 資產綁定程序的輸出。使用 AWS CDK 搭配 2.267.0 之前的 docker 檔案來綁定資產時，Docker 檔案可以將符號連結檔案或目錄插入資產綁定的輸出，而不需要提供符號連結做為綁定程序的輸入。
受影響的版本： 2.267.0 之前的所有 aws-cdk-lib 版本
解決方案：
此問題已在 aws-cdk-lib 2.267.0 版中解決。我們建議您升級至最新版本，並確保修補任何分支或衍生程式碼，以納入新的修正。
解決方法：
如果您無法立即升級，您可以稽核所有 Docker 綁定容器及其相依性，以確認未於設定的綁定環境中執行不受信任的程式碼，藉此降低串流意外資訊的可能性。
參考資料：
如有任何安全性問題或疑慮，請傳送電子郵件至 aws-security@amazon.com 。