CVE-2026-107332 - Amazon Toolkit for Visual Studio Code 缓存凭证的默认文件权限不安全
公告 ID： 2026-129-AWS
范围：亚马逊云科技
内容类型：重要提示（需要注意）
发布日期：2026 年 10 月 8 日上午 10:30（太平洋夏令时）
描述：
Amazon Toolkit for Visual Studio 是一款开源扩展，允许开发人员在 Visual Studio Code 中使用亚马逊云科技服务（包括 Amazon CodeCatalyst）。我们发现了 CVE-2026-107332，这是 CodeCatalyst 连接处理程序中的一个问题。当用户连接到 CodeCatalyst 开发环境时，该扩展会将用户的 CodeCatalyst 持有者令牌缓存到一个具有“全员可读”权限的文件中，并且不在会话结束后移除该文件。同一台计算机上能够访问文件系统的本地用户或进程可以读取此文件并获取该持有者令牌。
受影响版本： < 4.10.0
解决方案：
此问题已在 2026 年 7 月 9 日发布的 Amazon Toolkit for Visual Studio 版本 4.10.0 中得到解决。版本 4.10.0 会在写入令牌缓存文件时采用“仅所有者”权限，并在开发环境停止时删除该文件。建议您升级到最新版本，并确保对所有分叉代码或派生代码进行修补，以纳入新的修复程序。
临时措施：
无法立即升级的用户可以在每次会话结束后，删除 Amazon Toolkit 扩展的 Visual Studio Code 全局存储目录中所有名为 codecatalyst..token 的文件。
参考：
如有任何安全问题或疑虑，请发送电子邮件至 aws-security@amazon.com。