CVE-2026-107332 – AWS Toolkit for Visual Studio Code のキャッシュ認証情報における安全でないデフォルトのファイルアクセス許可
速報 ID: 2026-129-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
公開日: 2026 年 10 月 8 日午前 10 時 30 分 (太平洋標準時)
説明:
AWS Toolkit for Visual Studio Code は、デベロッパーが Visual Studio Code 内から Amazon CodeCatalyst などの AWS のサービスを使用できるようにするオープンソースの拡張機能です。当社は、CodeCatalyst 接続ハンドラーの問題である CVE-2026-107332 を特定しました。CodeCatalyst 開発環境にユーザーが接続すると、拡張機能によって,ユーザーの CodeCatalyst ベアラートークンはすべてのユーザーからの読み取りアクセスのあるファイルにキャッシュされましたが、そのファイルがセッション終了後も削除されませんでした。ファイルシステムにアクセスできる同じマシン上のローカルユーザーまたはプロセスが、このファイルを読み取り、ベアラートークンを取得することが可能でした。
影響を受けるバージョン: < 4.10.0
解決方法:
この問題は、2026 年 7 月 9 日にリリースされた AWS Toolkit for Visual Studio Code バージョン 4.10.0 で対処されています。バージョン 4.10.0 では、トークンキャッシュファイルは所有者のみのアクセス許可で書き込まれ、開発環境が停止すると削除されます。最新バージョンにアップグレードし、フォーク版や派生コードにも新しい修正を取り込むためのパッチを適用することをお勧めします。
回避策:
すぐにアップグレードできないユーザーは、各セッション後に AWS Toolkit 拡張機能の Visual Studio Code グローバルストレージディレクトリ内にある codecatalyst..token という名前のファイルをすべて削除することで対処できます。
参考情報:
セキュリティに関するご質問やご懸念がある場合は、aws-security@amazon.com まで E メールでお問い合わせください。