CVE-2025-23206 in aws-cdk
要約
〜によって VulDB • 2026年08月24日
AWS Cloud Development Kit (AWS CDK)は、コードでクラウドインフラストラクチャを定義し、AWS CloudFormationを通じてプロビジョニングするためのオープンソースのソフトウェア開発フレームワークです。IAM OIDC カスタムリソースプロバイダパッケージを使用するユーザーは、カスタムリソースワークフローの一環として CA Thumbprints をダウンロードします。しかし、現在の `tls.connect` メソッドは常に `rejectUnauthorized: false` を設定するため、潜在的なセキュリティ上の懸念があります。CDK はベストプラクティスに従い、`rejectUnauthorized: true` を設定すべきです。ただし、これは既存の CDK アプリケーションにとって破壊的変更（breaking change）となる可能性があるため、機能フラグを使用してこの問題を修正する必要があります。なお、発行者 URL は CDK アプリケーションを定義する CDK ユーザーによって提供されるため、本問題は低重大度のセキュリティアドバイザリとしてマークされています。ユーザーが認可されていない OIDC プロバイダへの接続に固執する場合、CDK がこれを禁止すべきではありません。さらに、このコードブロックは Lambda 環境で実行され、MITM（Man-in-the-Middle）攻撃のリスクが軽減されます。パッチは進行中です。緩和策として、CDK v2.177.0 にアップグレードしてください（予定リリース日：2025-02-22）。アップグレード後、ユーザーは `cdk.context.json` または `cdk.json` で機能フラグ '@aws-cdk/aws-iam:oidcRejectUnauthorizedConnections' が true に設定されていることを確認する必要があります。この脆弱性に対する既知の回避策はありません。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.