CVE-2026-107332 – Unsichere Standarddateiberechtigungen für zwischengespeicherte Anmeldeinformationen in AWS Toolkit für Visual Studio Code
Bulletin-ID: 2026-129-AWS
Geltungsbereich: AWS
Inhaltstyp: Wichtig (erfordert Aufmerksamkeit)
Veröffentlichungsdatum: 08.10.2026 10:30 Uhr PDT
Beschreibung:
AWS Toolkit für Visual Studio Code ist eine Open-Source-Erweiterung, mit der Entwickler von Visual Studio Code aus mit AWS-Services, einschließlich Amazon CodeCatalyst, arbeiten können. Wir haben CVE-2026-107332 identifiziert. Dies ist ein Problem im CodeCatalyst-Verbindungshandler. Wenn ein Benutzer eine Verbindung zu einer CodeCatalyst-Entwicklungsumgebung herstellte, speicherte die Erweiterung das CodeCatalyst-Bearer-Token des Benutzers in einer Datei mit allgemein lesbaren Berechtigungen im Cache und entfernte die Datei nach Ende der Sitzung nicht. Ein lokaler Benutzer oder Prozess auf demselben Computer mit Zugriff auf das Dateisystem konnte diese Datei lesen und das Bearer-Token abrufen.
Betroffene Versionen: < 4.10.0
Auflösung:
Dieses Problem wurde in AWS Toolkit für Visual Studio Code Version 4.10.0 behoben, die am 9. Juli 2026 veröffentlicht wurde. Version 4.10.0 schreibt die Token-Cache-Datei mit Berechtigungen, die ausschließlich dem Eigentümer gewährt werden, und löscht sie, wenn die Entwicklungsumgebung gestoppt wird. Wir empfehlen, ein Upgrade auf die neueste Version vorzunehmen und dafür zu sorgen, dass geforkter oder abgeleiteter Code gepatcht wird, damit die neuen Korrekturen enthalten sind.
Problemumgehungen:
Benutzer, die nicht sofort ein Upgrade durchführen können, können nach jeder Sitzung alle Dateien mit dem Namen codecatalyst..token im globalen Speicherverzeichnis von Visual Studio Code der AWS-Toolkit-Erweiterung löschen.
Referenzen:
Bei Fragen oder Bedenken zum Thema Sicherheit wenden Sie sich bitte per E-Mail an aws-security@amazon.com .