Kiro CLI: Falsche Dateiberechtigungen legen Sitzungsprotokolle lokalen Benutzern offen
Zusammenfassung
Kiro CLI (ehemals Amazon Q Developer CLI) vor Version 2.27.0 speichert unter macOS und Linux Sitzungsprotokolle und Prompt-Verlauf mit Berechtigungen, die anderen lokalen Benutzern auf demselben Host das Lesen erlauben. Ein Angreifer mit einem lokalen Konto mit niedrigen Rechten kann Prompts, Modellantworten und Tool-Ausgaben lesen, die Zugangsdaten oder Quellcode enthalten können. Das Risiko betrifft vor allem Hosts mit mehreren Benutzern; die Schwachstelle ist nicht aus der Ferne ausnutzbar.
Betroffen
- Kiro CLI ab 1.16.0 bis vor 2.27.0 unter macOS und Linux
- Amazon Q Developer CLI 1.16.0 bis 1.19.x (veraltete Verlaufsdatei)
- Gemäss CVE-Eintrag ist die Standardkonfiguration nicht betroffen
Behoben in
- Kiro CLI 2.27.0 oder neuer (die aktualisierte CLI einmal starten, damit bestehende Sitzungsdateien auf den Eigentümer beschränkt werden)
- Exakte korrigierte Version: anhand der Herstellermitteilung prüfen, da neuere Versionen existieren
Umgehung
- Unter macOS und Linux "chmod -R go-rwx ~/.kiro" ausführen
- Vor dem Start der Kiro CLI "umask 077" in der Shell ausführen
- Veraltete Amazon Q Developer CLI 1.16.0 bis 1.19.x: "chmod go-rwx ~/.aws/amazonq/.cli_bash_history" ausführen
Ausnutzung
- Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
- Öffentlicher Proof of Concept: bei den durchgeführten Recherchen nicht gefunden.
- Ein Angriff erfordert lokalen Zugriff mit einem Konto mit niedrigen Rechten.
Unsere Empfehlung
- Alle Installationen von Kiro CLI und Amazon Q Developer CLI inventarisieren und Hosts mit mehreren Benutzern priorisieren, etwa Entwicklungsserver, Jump-Hosts und Build-Runner.
- Auf Kiro CLI 2.27.0 oder neuer aktualisieren und die CLI einmal starten.
- Auf Hosts, die Amazon Q Developer CLI 1.16.0 bis 1.19.x verwendet haben, die Datei ~/.aws/amazonq/.cli_bash_history löschen oder auf den Eigentümer beschränken.
- Die Herstellermitteilung für die exakt korrigierte Version prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- AWS Security Bulletin 2026-178-AWS aws.amazon.com
- CVE Record CVE-2026-124848 www.cve.org
- Kiro CLI 2.27 changelog kiro.dev
- Strix CVE summary www.strix.ai
- OffSeq Radar entry radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 10:16.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.