CVE-2024-45037 in aws-cdk
要約
〜によって VulDB • 2026年06月29日
AWS Cloud Development Kit (CDK)は、コードを使用してクラウドインフラストラクチャを定義するためのオープンソースフレームワークです。顧客はこのツールを使用して独自のアプリケーションを作成し、これらのアプリケーションは顧客のAWSアカウントへのデプロイ時にAWS CloudFormationテンプレートに変換されます。CDKには「コンストラクト」と呼ばれる事前構築されたコンポーネントが含まれており、これらは既定値やベストプラクティスを提供する高レベルな抽象化です。このアプローチにより、開発者は生のCloudFormationテンプレートを記述する場合よりも効率的に複雑なクラウドインフラストラクチャを定義するために慣れ親しんだプログラミング言語を使用できます。
私たちはAWS Cloud Development Kit (CDK)において、特定の条件下で認証済みAmazon Cognitoユーザーに対して意図された範囲を超えたアクセス権限が付与される可能性がある問題を特定しました。具体的には、CDKアプリケーションが「RestApi」コンストラクトを、「CognitoUserPoolAuthorizer」をオーソライザーとして使用し、認可スコープを使用してアクセスを制限している場合にこの問題が発生します。本問題は特定のAPIリソースの可用性には影響しません。認証済みCognitoユーザーは保護されたAPIリソースまたはメソッドに対して意図しないアクセスを取得する可能性があり、その結果、データ漏洩や改ざんなどの問題につながる可能性があります。
対象バージョン: >=2.142.0; =2.148.1 本問題を解決するため、AWS CDKのバージョンを2.148.1以降にアップグレードし、アプリケーションを再デプロイすることをユーザーの皆様には推奨します。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.