CVE-2026-107332 - Autorizzazioni predefinite non sicure dei file sulle credenziali memorizzate nella cache nel Kit di strumenti AWS per Visual Studio Code
ID Bollettino: 2026-129-AWS
Ambito: AWS
Tipo di contenuto: Importante (richiede attenzione)
Data di pubblicazione: 08/10/2026 10:30 PDT
Descrizione:
Kit di strumenti AWS per Visual Studio Code è un’estensione open source che permette agli sviluppatori di lavorare con i servizi AWS, incluso Amazon CodeCatalyst, direttamente da Visual Studio Code. Abbiamo identificato la vulnerabilità CVE-2026-107332, un problema nel gestore di connessione di CodeCatalyst. Quando un utente si connetteva a un ambiente di sviluppo CodeCatalyst, l’estensione memorizzava nella cache il token bearer CodeCatalyst dell’utente in un file con autorizzazioni di lettura per tutti gli utenti e non lo eliminava al termine della sessione. Un utente o un processo locale sulla stessa macchina, con accesso al file system, poteva leggere il file e ottenere il token bearer.
Versioni interessate: < 4.10.0
Risoluzione:
Questo problema è stato risolto nella versione 4.10.0 del Kit di strumenti AWS per Visual Studio Code, rilasciata il 9 luglio 2026. La versione 4.10.0 scrive il file di cache del token con autorizzazioni riservate al proprietario e lo elimina quando l’ambiente di sviluppo viene interrotto. Per integrare le nuove correzioni, consigliamo di eseguire l’aggiornamento alla versione più recente e di assicurarsi che siano state applicate le patch a qualsiasi codice derivato o di cui è stato eseguito il fork.
Soluzioni alternative:
Gli utenti che non possono eseguire l’aggiornamento con immediatezza, possono eliminare i file denominati codecatalyst..token presenti nella directory di archiviazione globale dell’estensione del Kit di strumenti AWS per Visual Studio Code, al termine di ogni sessione.
Riferimenti:
Invia un’e-mail a aws-security@amazon.com per eventuali domande o dubbi sulla sicurezza.