CVE-2026-107332 – AWS Toolkit for Visual Studio Code 中快取憑證的不安全預設檔案許可設定
公告 ID： 2026-129-AWS
範圍：AWS
內容類型：重要 (需要注意)
發布日期： 2026 年 10 月 8 日 10:30 (太平洋夏令時間)
描述：
AWS Toolkit for Visual Studio Code 是一種開放原始碼延伸模組，可讓開發人員在 Visual Studio Code 內使用 AWS 服務，包括 Amazon CodeCatalyst。我們發現了 CVE-2026-107332 漏洞，這是 CodeCatalyst 連線處理常式中的問題。當使用者連線至 CodeCatalyst 開發環境時，該延伸模組會將使用者的 CodeCatalyst 持有者權杖快取至具有全體可讀許可的檔案，且在工作階段結束後未移除該檔案。同一台機器上可存取檔案系統的本機使用者或處理程序，能夠讀取此檔案並取得持有者權杖。
受影響版本： < 4.10.0
解決方案：
此問題已在 2026 年 7 月 9 日發布的 AWS Toolkit for Visual Studio Code 4.10.0 版中得以解決。4.10.0 版會以僅限擁有者存取的許可寫入權杖快取檔案，並在開發環境停止時將其刪除。我們建議升級至最新版本，並確保任何分支或衍生程式碼皆已套用修補程式，以納入新的修正。
變通方法：
無法立即升級的使用者，可在每次工作階段結束後，刪除 AWS Toolkit 延伸模組的 Visual Studio Code 全域儲存目錄中任何名為 codecatalyst..token 的檔案。
參考資料：
如有任何安全性問題或疑慮，請寄電子郵件至 aws-security@amazon.com。