CVE-2024-45037 in aws-cdk
Riassunto
di VulDB • 26/06/2026
Il Cloud Development Kit (CDK) di AWS è un framework open-source per la definizione dell'infrastruttura cloud tramite codice. I clienti lo utilizzano per creare le proprie applicazioni, che vengono convertite in modelli AWS CloudFormation durante il deployment nell’account AWS del cliente. CDK contiene componenti pre-costruiti chiamati "constructs", ovvero astrazioni di livello superiore che forniscono valori predefiniti e best practice. Questo approccio consente agli sviluppatori di utilizzare linguaggi di programmazione familiari per definire l'infrastruttura cloud complessa in modo più efficiente rispetto alla scrittura diretta dei modelli CloudFormation. È stato identificato un problema nel Cloud Development Kit (CDK) di AWS che, in determinate condizioni, può comportare il conferimento a utenti Amazon Cognito autenticati di privilegi di accesso più ampi del previsto. Nello specifico, se un'applicazione CDK utilizza il construct "RestApi" con "CognitoUserPoolAuthorizer" come authorizer e impiega ambiti di autorizzazione (authorization scopes) per limitare l'accesso. Questo problema non influisce sulla disponibilità delle specifiche risorse API. Gli utenti Cognito autenticati potrebbero ottenere accesso indesiderato a risorse o metodi API protetti, causando potenziali problemi di divulgazione dei dati e di modifica degli stessi. Versioni interessate: >=2.142.0;=2.148.1. Si consiglia agli utenti di aggiornare la versione del AWS CDK alla 2.148.1 o successiva e di ridistribuire le proprie applicazioni per risolvere il problema.
If you want to get best quality of vulnerability data, you may have to visit VulDB.