CVE-2026-107332 - AWS Toolkit for Visual Studio Code의 캐시된 자격 증명에 대한 안전하지 않은 기본 파일 권한
공지 ID: 2026-129-AWS
범위: AWS
콘텐츠 유형: 중요(주의 필요)
게시 날짜: 2026년 10월 8일 오전 10시 30분 PDT
설명:
AWS Toolkit for Visual Studio Code는 개발자가 Visual Studio Code 내에서 Amazon CodeCatalyst를 포함한 AWS 서비스를 사용할 수 있는 오픈 소스 확장 프로그램입니다. CodeCatalyst 연결 핸들러의 문제인 CVE-2026-107332를 식별했습니다. 사용자가 CodeCatalyst 개발 환경에 연결하면 해당 확장 프로그램은 사용자의 CodeCatalyst 베어러 토큰을 모든 사용자가 읽을 수 있는 권한이 설정된 파일에 캐시했으며, 세션이 종료된 후에도 해당 파일을 삭제하지 않았습니다. 파일 시스템에 액세스할 수 있는 동일한 시스템의 로컬 사용자 또는 프로세스가 이 파일을 읽고 베어러 토큰을 가져올 수 있었습니다.
영향을 받는 버전: 4.10.0 미만
해결 방법:
이 문제는 2026년 7월 9일에 릴리스된 AWS Toolkit for Visual Studio Code 버전 4.10.0에서 해결되었습니다. 버전 4.10.0은 소유자 전용 권한으로 토큰 캐시 파일을 작성하고 개발 환경이 중지될 때 삭제합니다. 최신 버전으로 업그레이드하고, 새로운 수정 사항이 반영되도록 포크되거나 파생된 코드에도 패치를 적용하는 것이 좋습니다.
임시 해결 방법:
즉시 업그레이드할 수 없는 사용자는 각 세션 후 AWS Toolkit 익스텐션의 Visual Studio Code 글로벌 스토리지 디렉터리에서 codecatalyst..token이라는 파일을 삭제할 수 있습니다.
참고 사항:
보안 관련 질문이나 우려 사항이 있는 경우 aws-security@amazon.com 로 이메일을 보내 주세요.