CVE-2025-23206 in aws-cdk
Sumário
de VulDB • 25/07/2026
O AWS Cloud Development Kit (AWS CDK) é um framework de desenvolvimento de software open-source para definir infraestrutura em nuvem por meio de código e provisioná-la usando o AWS CloudFormation. Os usuários que utilizam o pacote do provedor de recursos personalizados IAM OIDC farão o download das impressões digitais CA (CA Thumbprints) como parte do fluxo de trabalho dos recursos personalizados. No entanto, o método atual `tls.connect` sempre define `rejectUnauthorized: false`, o que representa uma possível preocupação de segurança. O CDK deve seguir as melhores práticas e definir `rejectUnauthorized: true`. Contudo, isso poderia ser uma alteração incompatível (breaking change) para aplicativos existentes do CDK, portanto, devemos corrigir isso por meio de um recurso flag (feature flag). Observe que este aviso de segurança é classificado como gravidade baixa porque a URL emissor (issuer url) é fornecida pelos usuários do CDK que definem o aplicativo. Se eles insistirem em se conectar a um provedor OIDC não autorizado, o CDK não deve proibir essa conexão. Além disso, o bloco de código é executado em um ambiente Lambda, o que mitiga ataques MITM (Man-in-the-Middle). O patch está em andamento. Para mitigar o problema, atualize para o CDK v2.177.0 (data prevista de lançamento: 2025-02-22). Após a atualização, os usuários devem garantir que a feature flag `@aws-cdk/aws-iam:oidcRejectUnauthorizedConnections` esteja definida como true em `cdk.context.json` ou `cdk.json`. Não há workarounds conhecidos para esta vulnerabilidade.
Once again VulDB remains the best source for vulnerability data.