注目★★★★★GitHub Advisory
aws-cdk-lib 2.245.0未満にOSコマンドインジェクション脆弱性
30秒で把握
- 1aws-cdk-lib 2.245.0未満にOSコマンドインジェクション・任意コマンド実行可能
- 2NodejsFunctionのbundlingプロパティ5種がエスケープなしでシェル展開される
- 3悪意あるnpm依存やPR経由で攻撃可能・修正版2.245.0へ即時アップグレード推奨
要約
aws-cdk-libの2.245.0未満（Windows版は2.246.0未満）に、OSコマンドインジェクション脆弱性が確認された。NodejsFunctionのローカルバンドル処理で、externalModules・define・loader・inject・esbuildArgsの各プロパティ値がシェルメタ文字のエスケープなしにコマンド文字列へ展開される。細工した値を持つ悪意あるnpm依存パッケージや不審なプルリクエストを経由した攻撃者が、cdk synth/deploy/diff実行ユーザー権限で任意コマンドを実行できる。修正版の2.245.0（Windows版は2.246.0）へのアップグレードが推奨される。
あなたへの影響
CDKでNodejsFunctionを使っているチームは2.245.0（Windows環境では2.246.0）への即時アップグレードを。
推奨：サードパーティ製のCDKコンストラクトライブラリを利用している場合、依存パッケージ経由で悪意あるプロパティ値が注入される経路があるため、package-lock.jsonやnpm auditで依存関係の棚卸しも併せて実施すること。