Bartek Chojnacki

W komponencie publikacyjnym Virtual Engineering Workbench znaleziono lukę umożliwiającą zdalne wykonanie kodu z uprawnieniami roli IAM Lambda. Dotyczy wszystkich wersji przed commitem c146486 – jeśli używasz VEW, musisz zaktualizować się do najnowszej wersji.

AWS Serverless MCP Server w wersjach poniżej v0.2.1 ma podatność na path traversal, która pozwala odczytywać i potencjalnie modyfikować pliki JSON poza zamieszonym katalogiem. Jeśli używasz tego narzędzia, musisz zaktualizować się do wersji 0.2.1 lub nowszej.

AWS Glue Data Catalog ma problem z obsługą cudzysłowów w identyfikatorach SQL, który pozwala uwierzytelnionym użytkownikom na dostęp do tabel poza ich uprawnieniami. Dotyczy to awswrangler w wersjach od 3.5.2 do 3.17.1 - jeśli używasz tej biblioteki, musisz zaktualizować się do wersji 3.17.1 lub nowszej.

AWS ostrzega o use-after-free w IPv4 TCP handshake'u (CVE-2026-98432) w jądrze Linuksa 4.4+, która może prowadzić do zdalnego wykonania kodu. Jeśli zarządzasz samodzielnie instancjami Amazon Linux 2 lub 2023, musisz zainstalować patche i zrestartować system, natomiast usługi zarządzane przez AWS są już aktualizowane.

Amazon Kinesis Producer Library for Java ma lukę, która przy DEBUG log level ujawnia AWS credentials w logach i argumentach procesów. Dotyczy wersji amazon-kinesis-producer <= 0.15.12 i amazon-kinesis-producer < 1.0.8 – jeśli używasz tych wersji, koniecznie zaktualizuj bibliotekę.

AWS ostrzega o dwóch podatnościach w SDK Nitro Enclaves dla C (wersje ≤ v0.4.5): use-after-free w kmstool-enclave pozwalającej na wykonanie kodu w enklawzie oraz błędzie walidacji, który umożliwia podszywanie się pod KMS i wstrzykiwanie fałszywych odpowiedzi. Jeśli używasz tego SDK, koniecznie zaktualizuj do najnowszej wersji.

FreeRTOS-Kernel od Amazona ma problem z walidacją obiektów jądra w ścieżce selekcji queue-set (CVE-2026-119086). Na buildach z włączonym MPU i queue sets, nieprivilegowany task może spowodować zapis poza przeznaczony obszar w kontekście privilegowanym, zagrażając integralności systemu. Dotyczy wersji V7.4.0 do V11.3.2 – jeśli nie używasz queue sets, jesteś bezpieczny.