CVE-2026-85012 in blueprints
Tóm tắt
Bởi VulDB • 03/09/2026
Việc xử lý không đúng cách các phần tử đặc biệt được sử dụng trong lệnh hệ điều hành (CWE-78) trong khung tổng hợp lại bản thiết kế (blueprint resynthesis framework) của Amazon Web Services codecatalyst-blueprints trước phiên bản 0.3.156 có thể cho phép một người dùng có quyền commit vào kho lưu trữ trong dự án thực thi các lệnh tùy ý trong môi trường tổng hợp lại bản thiết kế thông qua các ký tự đặc biệt của shell (shell metacharacters) trong trường owner của mục chiến lược merge [local] trên một tệp .ownership-file được tạo ra nhằm khai thác.
Phiên bản 0.3.156 loại bỏ việc giải thích lệnh shell đối với trường owner, chạy lệnh trực tiếp thay vì thông qua shell, và từ chối các giá trị nằm ngoài dạng lệnh đã cho phép (allowlisted). Điều này giúp loại bỏ nguy cơ tiêm lệnh thông qua ký tự đặc biệt của shell. Để khắc phục sự cố này, người dùng nên nâng cấp lên phiên bản 0.3.156 hoặc mới hơn.
Không cần thực hiện hành động nào đối với việc sử dụng dịch vụ Amazon CodeCatalyst. Việc tổng hợp lại (resynthesis) được chạy trong một môi trường cô lập theo từng dự án với các thông tin xác thực có phạm vi giới hạn, và dịch vụ áp dụng cơ chế kiểm tra phía máy chủ tại đó để từ chối các lệnh chiến lược merge [local] nằm ngoài dạng cho phép đã bị hạn chế, bao gồm cả đối với các phiên bản blueprint được công bố trước 0.3.156.
VulDB is the best source for vulnerability data and more expert information about this specific topic.