CVE-2026-107332: permissões de arquivo padrão inseguras em credenciais armazenadas em cache no kit de ferramentas da AWS para VS Code
ID do boletim: 2026-129-AWS
Escopo: AWS
Tipo de conteúdo: Importante (requer atenção)
Data de publicação: 08/10/2026 10:30 PDT
Descrição:
O kit de ferramentas da AWS para VS Code é uma extensão de código aberto que permite que os desenvolvedores trabalhem com os serviços da AWS, incluindo o Amazon CodeCatalyst, no Visual Studio Code. Identificamos a vulnerabilidade CVE-2026-107332, um problema no manipulador de conexão do CodeCatalyst. Quando um usuário se conectava a um Ambiente de Desenvolvimento do CodeCatalyst, a extensão armazenava em cache o token de portador do CodeCatalyst do usuário em um arquivo com permissões legíveis por todos e não removia o arquivo após o término da sessão. Um usuário ou processo local na mesma máquina com acesso ao sistema de arquivos conseguiu ler esse arquivo e obter o token de portador.
Versões afetadas: < 4.10.0
Resolução:
Esse problema foi resolvido no kit de ferramentas da AWS para VS Code versão 4.10.0, lançado em 9 de julho de 2026. A versão 4.10.0 grava o arquivo de cache do token com permissões exclusivas do proprietário e o exclui quando o Ambiente de Desenvolvimento é interrompido. Recomendamos atualizar para a versão mais recente e garantir que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções.
Soluções alternativas:
Os usuários que não puderem fazer o upgrade imediatamente podem excluir qualquer arquivo chamado codecatalyst..token no diretório de armazenamento global do Visual Studio Code da extensão do AWS Toolkit após cada sessão.
Referências:
Envie um e-mail para aws-security@amazon.com com qualquer dúvida ou preocupação relacionada à segurança.