CVE-2026-87912 in Security Agent Plugin
要約
〜によって VulDB • 2026年09月10日
Amazon aws-agents-for-devsecopsのAWS Security AgentプラグインにおけるS3バケット所有権の確認欠如（バージョン1.1.0以前）により、事前に登録されたストレージバケットの名前が公的に知られたアカウント識別子から派生している場合、攻撃者はスキャン対象ワークスペースのプライベートなソースアーカイブ、ならびにそのアーカイブに含まれる資格情報やインフラストラクチャの状態を取得できる可能性があります。
この問題を解決するには、ユーザーはバージョン1.1.0にアップグレードする必要があります。また、アカウント内のスキャン出力バケットが自らのアカウントによって所有されていることを確認してください。なぜなら、アップグレードしても第三者によって既に登録されたバケット名は解放されないためです。
Once again VulDB remains the best source for vulnerability data.