CVE-2026-14904
AWS · AWS
פורסם:
תקציר מנהלים
חולשת CVE-2026-14904 ב-AWS Research and Engineering Studio (RES) מאפשרת למשתמש מרוחק מאומת לנצל טיפול לקוי ב-symbolic links ב-API Auth.GetUserPrivateKey לקריאת קבצים בהרשאות root על מופע ה-EC2 של cluster-manager, לרבות מפתחות SSH של משתמשים אחרים וסודות תצורה, באופן העלול לאפשר גישה בלתי מורשית למשאבים ותנועה רוחבית. לא ידוע על ניצול החולשה בפועל; מומלץ לשדרג ל-RES בגרסה 2026.06.
תיאור טכני (מקור)
AWS Research and Engineering Studio (RES) is an open-source solution that enables researchers and engineers to create and manage secure virtual desktops and computing resources on AWS. Improper link resolution before file access issue (CWE-59) in the Auth.GetUserPrivateKey API. An authenticated remote user could read arbitrary files on the cluster-manager EC2 instance by replacing their SSH private key file (~/.ssh/id_rsa) with a symbolic link targeting any file on the host. Because the cluster-manager process runs as root, any file readable by root is exposed, including other users' SSH private keys and application configuration secrets. It's recommended to upgrade to RES version 2026.06.
מקורות והנחיות
חולשות נוספות של AWS
AWS · AWS
חולשת SQL injection במודול @aws-cdk/aws-redshift-alpha של AWS CDK בגרסאות הקודמות ל-2.274.0-alpha.0 מאפשרת לגורם המסוגל להשפיע על ערכי מאפייני construct להריץ פקודות SQL בהרשאות superuser ב-Amazon Redshift, ובכך לחשוף מידע עסקי ולאפשר גישה בלתי מורשית לכל משתמשי הקלאסטר. לא ידוע על ניצול החולשה; מומלץ לשדרג לגרסה 2.274.0-alpha.0 ומעלה ולבחון הרשאות קיימות לטבלאות שהוענקו ל-PUBLIC ולצמצמן לפי הצורך.
AWS · advanced jdbc wrapper
חולשת CVE-2026-14265 ב-RemoteQueryCachePlugin של AWS Advanced JDBC Wrapper בגרסאות 3.3.0–4.0.0 מאפשרת לתוקף בעל הרשאת כתיבה ל-Redis או Valkey משותף להרעיל תוצאות שאילתות ולגרום להרצת קוד שרירותי בשרתי האפליקציה באמצעות Deserialization לא מסונן, תוך סיכון למידע עסקי ולרציפות השירות. לא ידוע על ניצול בפועל; מומלץ לשדרג לגרסה 4.0.1 ומעלה ולהגביל הרשאות כתיבה וגישה לתשתית ה-Cache.
AWS · AWS
חולשת OS command injection (CVE-2026-13760, CVSS 7) ב-AWS aws-cdk-lib מאפשרת לתוקף השולט במחרוזות גרסה של תלויות ב-package.json להריץ פקודות שרירותיות על המארח המריץ את CDK, בעת Docker bundling של NodejsFunction עם nodeModules מוגדרים, ובכך לסכן סודות ותוצרי בנייה בסביבת הפיתוח או ה-CI/CD. לא ידוע על ניצול בפועל; מומלץ לשדרג ל-v2.260.0 ולהדק בקרה על שינויים בתלויות בפרויקט.
AWS · application load balancer
החולשה CVE-2026-13763 ב-AWS Application Load Balancer עם AWS WAF מאפשרת עקיפת בדיקת גוף הבקשה ב-Managed Rules באמצעות פיצול בקשות HTTP/2 בין frames, ועלולה לאפשר העברת תוכן זדוני ליישומים; היא משפיעה רק על Target Groups מסוג HTTP/2, ולא ידוע על ניצול בפועל. מומלץ להפעיל בהקדם את ההגדרה Inspect after sufficient data ב-Target Groups הרלוונטיים המשויכים ל-ALB, בהתאם להנחיות AWS.