CVE-2026-89332 – エージェントが書き込んだワークスペース設定を介した Kiro IDE 機密ワークスペースデータの流出
速報 ID: 2026-111-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
発行日: 2026 年 9 月 11 日 午後 12 時 00 分 (PDT)
説明:
Kiro IDE は、AI エージェントを使用してデベロッパーが実際のエンジニアリング作業の成果を容易にリリースできるようにするエージェンティック開発環境です。
AWS は CVE-2026-89332 を特定しました。この問題では、Kiro エージェントが Kiro IDE の信頼できないワークスペースでワークスペースの設定ファイルを変更する可能性があります特別に細工されたリポジトリがこれを使用して、外部エンドポイントで Powers パネルが開かれたときに Kiro が取得する Kiro パワーレジストリ URL を指し、機密性の高いワークスペースデータをそのエンドポイントに送信する可能性があります。Kiro は挿入されたデータと URL を表示して、編集をユーザーに提示して承認を求めますが、ファイルは既にディスクに書き込まれていたので、プロンプトに応答する前に Powers パネルを開くとリクエストが行われました。
影響を受けるバージョン: Kiro IDE < 0.8.135
解決方法:
この問題は、Kiro IDE バージョン 0.8.135 以降で対処されています。最新バージョンにアップグレードし、以前のバージョンで開いたプロジェクトに存在する認証情報をローテーションすることをお勧めします。
回避策:
なし。
参考情報:
セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com までメールでお問い合わせください。