CVE-2026-107332: Permisos de archivo predeterminados poco seguros en las credenciales almacenadas en caché en el Kit de herramientas de AWS para Visual Studio Code
ID del boletín: 2026-129-AWS
Alcance: AWS
Tipo de contenido: Importante (requiere atención)
Fecha de publicación: 08/10/2026 10:30 h PDT
Descripción:
El Kit de herramientas de AWS para Visual Studio Code es una extensión de código abierto que permite que los desarrolladores trabajen con los servicios de AWS, incluido Amazon CodeCatalyst, desde Visual Studio Code. Identificamos la vulnerabilidad CVE-2026-107332, un problema en el controlador de conexiones de CodeCatalyst. Cuando un usuario se conectaba a un entorno de desarrollo de CodeCatalyst, la extensión almacenaba en caché el token portador de CodeCatalyst del usuario en un archivo con permisos de lectura universal y no eliminaba el archivo una vez finalizada la sesión. Un usuario o proceso local de la misma máquina con acceso al sistema de archivos podía leer este archivo y obtener el token portador.
Versiones afectadas: < 4.10.0
Resolución:
Este problema se solucionó en la versión 4.10.0 del Kit de herramientas de AWS para Visual Studio Code, publicada el 9 de julio de 2026. La versión 4.10.0 escribe el archivo de caché de tokens con permisos exclusivos para el propietario y lo elimina cuando se detiene el entorno de desarrollo. Recomendamos actualizar a la versión más reciente y asegurarse de que cualquier código bifurcado o derivado se haya parcheado para incorporar las nuevas correcciones.
Soluciones alternativas:
Los usuarios que no puedan realizar la actualización inmediatamente pueden eliminar cualquier archivo denominado codecatalyst..token del directorio de almacenamiento global de Visual Studio Code de la extensión del Kit de herramientas de AWS después de cada sesión.
Referencias:
Envíe un correo electrónico a aws-security@amazon.com si tiene alguna pregunta o inquietud de seguridad.