CVE-2025-23206 in aws-cdk
الملخص
بحسب VulDB • 24/08/2026
يُعد AWS Cloud Development Kit (AWS CDK) إطار عمل لتطوير البرمجيات مفتوح المصدر لتعريف بنية السحابة باستخدام الكود وتجهيزها عبر خدمة AWS CloudFormation. يقوم المستخدمون الذين يستخدمون حزمة موفر الموارد المخصصة IAM OIDC بتنزيل بصمات شهادات CA كجزء من سير العمل الخاص بالموارد المخصصة. ومع ذلك، فإن طريقة `tls.connect` الحالية تضبط دائماً القيمة `rejectUnauthorized: false`، وهو ما يُعد مصدر قلق أمني محتمل. ينبغي أن يتبع CDK أفضل الممارسات ويقوم بتعيين `rejectUnauthorized: true`. غير أنه قد يكون هذا تغييراً معطلاً للتطبيقات الموجودة التي تستخدم CDK، ولذلك يجب معالجة هذه المشكلة باستخدام علم ميزة (feature flag). تجدر الإشارة إلى أن هذا الأمر مُصنف كإرشاد أمني منخفض الخطورة لأن عنوان URL للمصدر (issuer url) يتم توفيره من قبل مستخدمي CDK الذين يعرفون تطبيق CDK. إذا أصروا على الاتصال بموفر OIDC غير مصرح له، فلا ينبغي لـ CDK منع ذلك. بالإضافة إلى ذلك، يُنفذ كتلة الكود في بيئة Lambda مما يخفف من هجمات الرجل في المنتصف (MITM). العمل على التصحيح قيد التقدم. للتخفيف من هذه المشكلة، قم بالترقية إلى الإصدار v2.177.0 من CDK (تاريخ النشر المتوقع 2025-02-22). بمجرد الترقية، يجب على المستخدمين التأكد من أن علم الميزة '@aws-cdk/aws-iam:oidcRejectUnauthorizedConnections' مضبوط على القيمة true في ملف `cdk.context.json` أو `cdk.json`. لا توجد حلول بديلة معروفة لهذه الثغرة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.