CVE-2026-13760
AWS · AWS
פורסם:
תקציר מנהלים
חולשת OS command injection (CVE-2026-13760, CVSS 7) ב-AWS aws-cdk-lib מאפשרת לתוקף השולט במחרוזות גרסה של תלויות ב-package.json להריץ פקודות שרירותיות על המארח המריץ את CDK, בעת Docker bundling של NodejsFunction עם nodeModules מוגדרים, ובכך לסכן סודות ותוצרי בנייה בסביבת הפיתוח או ה-CI/CD. לא ידוע על ניצול בפועל; מומלץ לשדרג ל-v2.260.0 ולהדק בקרה על שינויים בתלויות בפרויקט.
תיאור טכני (מקור)
OS command injection in the NodejsFunction Docker bundling pipeline (OsCommand helper) in AWS aws-cdk-lib on all platforms might allow a actor who controls dependency version strings in a project's package.json file to execute arbitrary commands on the host running the CDK toolchain via injected shell metacharacters in the OsCommand helper. This issue requires the actor to control the content of a package.json dependency version string that is processed during Docker-based bundling with nodeModules specified. To remediate this issue, users should upgrade to v2.260.0.
מקורות והנחיות
חולשות נוספות של AWS
AWS · AWS
חולשת SQL injection במודול @aws-cdk/aws-redshift-alpha של AWS CDK בגרסאות הקודמות ל-2.274.0-alpha.0 מאפשרת לגורם המסוגל להשפיע על ערכי מאפייני construct להריץ פקודות SQL בהרשאות superuser ב-Amazon Redshift, ובכך לחשוף מידע עסקי ולאפשר גישה בלתי מורשית לכל משתמשי הקלאסטר. לא ידוע על ניצול החולשה; מומלץ לשדרג לגרסה 2.274.0-alpha.0 ומעלה ולבחון הרשאות קיימות לטבלאות שהוענקו ל-PUBLIC ולצמצמן לפי הצורך.
AWS · AWS
חולשת CVE-2026-14904 ב-AWS Research and Engineering Studio (RES) מאפשרת למשתמש מרוחק מאומת לנצל טיפול לקוי ב-symbolic links ב-API Auth.GetUserPrivateKey לקריאת קבצים בהרשאות root על מופע ה-EC2 של cluster-manager, לרבות מפתחות SSH של משתמשים אחרים וסודות תצורה, באופן העלול לאפשר גישה בלתי מורשית למשאבים ותנועה רוחבית. לא ידוע על ניצול החולשה בפועל; מומלץ לשדרג ל-RES בגרסה 2026.06.
AWS · advanced jdbc wrapper
חולשת CVE-2026-14265 ב-RemoteQueryCachePlugin של AWS Advanced JDBC Wrapper בגרסאות 3.3.0–4.0.0 מאפשרת לתוקף בעל הרשאת כתיבה ל-Redis או Valkey משותף להרעיל תוצאות שאילתות ולגרום להרצת קוד שרירותי בשרתי האפליקציה באמצעות Deserialization לא מסונן, תוך סיכון למידע עסקי ולרציפות השירות. לא ידוע על ניצול בפועל; מומלץ לשדרג לגרסה 4.0.1 ומעלה ולהגביל הרשאות כתיבה וגישה לתשתית ה-Cache.
AWS · application load balancer
החולשה CVE-2026-13763 ב-AWS Application Load Balancer עם AWS WAF מאפשרת עקיפת בדיקת גוף הבקשה ב-Managed Rules באמצעות פיצול בקשות HTTP/2 בין frames, ועלולה לאפשר העברת תוכן זדוני ליישומים; היא משפיעה רק על Target Groups מסוג HTTP/2, ולא ידוע על ניצול בפועל. מומלץ להפעיל בהקדם את ההגדרה Inspect after sufficient data ב-Target Groups הרלוונטיים המשויכים ל-ALB, בהתאם להנחיות AWS.