VULNERABILIDAD
CVE-2026-112407 Asignación incorrecta de privilegios en AWS CICD-toolchain-for-serverless-applications
Una asignación incorrecta de privilegios en la política IAM de AWS CICD-toolchain-for-serverless-applications 1.0.7 a 1.0.10 permite a usuarios autenticados remotos con acceso de push al repositorio de código de la aplicación escalar privilegios y acceder o modificar recursos fuera del stack de la aplicación en la misma cuenta de AWS, mediante plantillas desplegadas por el pipeline de la toolchain. Se corrige actualizando los stacks existentes a la versión 1.0.11 o posterior.
Alerta de Nureq Monitor
Detectada 20 OCT · 18:41
CVSS 3.1
8.8ALTACVSS 4.0
8.7 ALTA
PROBABILIDAD DE EXPLOTACIÓN (EPSS)
0,3 % PERCENTIL 27
EXPLOTACIÓN ACTIVA
No confirmada
EXPLOIT PÚBLICO
No conocido
Qué es CVE-2026-112407
Una asignación incorrecta de privilegios en la política IAM de AWS CICD-toolchain-for-serverless-applications 1.0.7 a 1.0.10 permite a usuarios autenticados remotos con acceso de push al repositorio de código de la aplicación escalar privilegios y acceder o modificar recursos fuera del stack de la aplicación en la misma cuenta de AWS, mediante plantillas desplegadas por el pipeline de la toolchain. Se corrige actualizando los stacks existentes a la versión 1.0.11 o posterior.
Productos y versiones afectadas
AWS CICD-toolchain-for-serverless-applications
Qué hacer
- Verificá si usás CICD-toolchain-for-serverless-applications y en qué versión: el rango afectado figura arriba.
- Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
- Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.
Calculadora CVSS
CVSS 3.1 · 8.8 ALTA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- ALCANCE (S)
- Sin cambio
- CONFIDENCIALIDAD (C)
- Alta
- INTEGRIDAD (I)
- Alta
- DISPONIBILIDAD (A)
- Alta
CVSS 4.0 · 8.7 ALTA
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
- VECTOR DE ATAQUE (AV)
- Red
- COMPLEJIDAD DEL ATAQUE (AC)
- Baja
- REQUISITOS DEL ATAQUE (AT)
- Ninguno
- PRIVILEGIOS REQUERIDOS (PR)
- Bajos
- INTERACCIÓN DEL USUARIO (UI)
- Ninguna
- CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
- Alta
- INTEGRIDAD (SISTEMA VULNERABLE) (VI)
- Alta
- DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
- Alta
- CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
- Ninguna
- INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
- Ninguna
- DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
- Ninguna
Abrir la calculadora completa →
Descripción original
Incorrect privilege assignment in the IAM policy of AWS CICD-toolchain-for-serverless-applications 1.0.7 through 1.0.10 allows remote authenticated users with push access to the application source repository to escalate privileges and access or modify resources outside the application stack in the same AWS account via application templates deployed by the toolchain pipeline.
To remediate this issue, users should upgrade existing toolchain stacks to version 1.0.11 or later.
Referencias
- github.com/aws-samples/aws-lambda-sample-applications/releases/tag/1.0.11RELEASE-NOTES · PATCH
- github.com/aws-samples/aws-lambda-sample-applications/security/advisories/GHSA-f76m-4xrx-…THIRD-PARTY-ADVISORY
- aws.amazon.com/security/security-bulletins/2026-141-aws/VENDOR-ADVISORY
Historial de la alerta
- VULNERABILIDAD Nueva vulnerabilidad detectada.
CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.