CVE-2026-112407 – AWS CICD-toolchain-for-serverless-applications 中的權限指派不正確
公告 ID： 2026-141-AWS
範圍：AWS
內容類型：重要 (需要注意)
發布日期： 2026 年 10 月 20 日下午 1:30 (太平洋夏令時間)
描述：
CICD-toolchain-for-serverless-applications 是 AWS 範例應用程式，會透過 AWS Serverless Application Repository 為無伺服器應用程式佈建 CI/CD 管道。我們發現 CVE-2026-112407，這是 AWS CICD-toolchain-for-serverless-applications 在 1.0.11 版之前 IAM 政策中的權限指派不正確問題，可讓具備應用程式來源儲存庫推送權限的遠端已驗證使用者，透過工具鏈管道部署的應用程式範本來提升權限，並存取或修改同一 AWS 帳戶中應用程式堆疊以外的資源。
受影響的版本： =1.0.7 且 <=1.0.10
解決方案：
此問題已在 CICD-toolchain-for-serverless-applications 1.0.11 版中解決。我們建議將現有工具鏈堆疊升級至 1.0.11 版或更新版本，並確保任何分支或衍生程式碼都已修補，以納入新的修正。
變通方法：
目前沒有可用的變通方法。
參考資料：
致謝：
我們誠摯感謝西安電子科技大學的 Changli 透過協調的漏洞揭露程序，與我們協作解決此問題。
如有任何安全性問題或疑慮，請寄電子郵件至 aws-security@amazon.com 。