AWS CICD-toolchain-for-serverless-applications: Fehlerhafte Berechtigungsvergabe in IAM-Richtlinie
Zusammenfassung
Das AWS-Beispielprojekt CI/CD-Toolchain für Serverless-Anwendungen in den Versionen 1.0.7 bis 1.0.10 vergibt in seiner IAM-Richtlinie fehlerhafte Berechtigungen. Ein authentifizierter Benutzer mit Push-Zugriff auf das Quell-Repository der Anwendung kann über die Pipeline der Toolchain bereitgestellte Templates nutzen, um seine Rechte zu erweitern. Dadurch kann auf Ressourcen ausserhalb des Anwendungs-Stacks im selben AWS-Konto zugegriffen oder diese verändert werden.
Betroffen
- AWS CICD-toolchain-for-serverless-applications 1.0.7 bis 1.0.10 (gemäss AWS-Bulletin 2026-141-AWS und CNA-Eintrag)
- Versionen vor 1.0.7: Unbekannt, Bestätigung durch AWS ausstehend
- Forks oder abgeleiteter Code auf Basis der betroffenen Versionen
Behoben in
- Version 1.0.11 (veröffentlicht am 15.10.2026), Fix-Commit fa3aa2b
Umgehung
- Gemäss AWS ist kein Workaround verfügbar.
Ausnutzung
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Nicht im CISA-KEV-Katalog aufgeführt. VulDB gibt an, dass kein Exploit verfügbar ist.
- Zum Recherchezeitpunkt sind kein öffentlicher Proof of Concept und keine bekannte Ausnutzung bekannt.
Unsere Empfehlung
- Alle eingesetzten Kopien der Toolchain und Forks identifizieren und deren Version prüfen.
- Bestehende Toolchain-Stacks auf Version 1.0.11 oder neuer aktualisieren und abgeleiteten Code patchen.
- IAM-Rollen und -Richtlinien prüfen, die von bestehenden Toolchain-Stacks erstellt wurden.
- Push-Zugriff auf Anwendungs-Repositories einschränken und MFA für Entwicklerkonten erzwingen.
- Das AWS-Konto auf unerwartete IAM-Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- AWS Security Bulletin 2026-141-AWS aws.amazon.com
- GitHub Release 1.0.11 github.com
- GitHub Security Advisory GHSA-f76m-4xrx-pvq5 github.com
- OpenCVE CVE-2026-112407 app.opencve.io
- VulDB 423035 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 01:22.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.