CVE-2026-97662 : injection d’arguments dans l’analyse différentielle de security-agent-mcp-server d’AWS
ID du bulletin : 2026-121-AWS
Portée : AWS
Type de contenu : important (nécessite une attention particulière)
Date de publication : 01/10/2026 à 10 h 30 PDT (heure du Pacifique)
Description :
security-agent-mcp-server est un serveur open source du protocole de contextualisation des modèles (MCP), publié par AWS dans le référentiel awslabs/mcp, que les assistants IA utilisent pour effectuer des analyses de sécurité locales (y compris des analyses différentielles, dites « diff ») sur du code source. Nous avons identifié CVE-2026-97662, un problème d’injection d’arguments dans l’opération d’analyse différentielle : une valeur de référence spécialement conçue, fournie à l’analyse, est interprétée comme une option de ligne de commande plutôt que comme une révision. Cela permet à un acteur, selon le contexte, de créer, de remplacer ou de tronquer des fichiers arbitraires sur l’hôte en dehors du répertoire de l’espace de travail prévu, en contournant le mécanisme du serveur qui limite les opérations à cet espace de travail.
Versions concernées : >= 0.1.1 ET < 0.2.0
Résolution :
Ce problème a été corrigé dans la version 0.2.0 de security-agent-mcp-server. Nous vous recommandons de passer à la dernière version et d’appliquer les nouveaux correctifs à tout code issu d’un fork ou dérivé.
Solutions de contournement :
Il n’existe aucune solution de contournement autre que la mise à niveau. En attendant la mise à niveau, effectuez des analyses différentielles uniquement sur des référentiels approuvés et exécutez le serveur avec un compte utilisateur doté du minimum de privilèges dans un environnement isolé, afin qu’une écriture non prévue ne puisse pas atteindre les fichiers sensibles de l’hôte.
Références :
Remerciements :
Nous remercions Mario Guzmán (yud4s), chercheur indépendant, pour sa collaboration sur ce problème dans le cadre du processus de divulgation coordonnée des vulnérabilités.
Veuillez envoyer un e-mail à aws-security@amazon.com pour toute question ou préoccupation relative à la sécurité.