CVE-2026-97662 – 亚马逊云科技 security-agent-mcp-server diff 扫描中的参数注入
公告 ID： 2026-121-AWS
范围：亚马逊云科技
内容类型：重要提示（需要注意）
发布日期：2026 年 10 月 1 日上午 10:30（太平洋夏令时）
描述：
security-agent-mcp-server 是一款开源模型上下文协议（MCP）服务器，由亚马逊云科技在 awslabs/mcp 存储库中发布，人工智能助手可用来对源代码运行本地安全扫描（包括差异“diff”扫描）。我们发现了 CVE-2026-97662，即 diff 扫描操作中的参数注入问题：提供给扫描的蓄意编制的引用值会被解释为命令行选项，而非修订版本，这使得依赖上下文的行为者能够绕过服务器的工作空间限制控制，在主机上的预期工作空间目录之外创建、覆盖或截断任意文件。
受影响的版本：>= 0.1.1 且 <= 0.2.0
解决方案：
此问题已在 security-agent-mcp-server 0.2.0 版本中予以解决。建议您升级到最新版本，并确保对所有分叉代码或派生代码进行修补，以纳入新的修复程序。
临时措施：
除升级之外，无其他临时措施。在完成升级之前，请仅对可信存储库运行 diff 扫描，并在隔离环境中以最低权限用户身份运行服务器，以防意外写入操作访问敏感主机文件。
参考：
致谢：
感谢独立研究员 Mario Guzmán（yud4s）通过协调漏洞披露流程就此问题与我们协作。
如有任何安全问题或疑虑，请发送电子邮件至 aws-security@amazon.com。