Bulletin ID: 2026-141-AWSスコープ: AWSコンテンツタイプ: 重要 (注意が必要)公開日: 2026年10月20日 13:30 PDT説明:CICD-toolchain-for-serverless-applications は、AWS Serverless Application Repository を介してサーバーレスアプリケーションの CI/CD パイプラインをプロビジョニングする AWS サンプルアプリケーションです。CVE-2026-112407 を特定しました。これは、AWS CICD-toolchain-for-serverless-applications の 1.0.11 より前のバージョンにおける IAM ポリシーの不適切な権限割り当てであり、アプリケーションソースリポジトリへのプッシュアクセス権を持つリモート認証済みユーザーが、ツールチェーンパイプラインによってデプロイされたアプリケーションテンプレートを介して、同じ AWS アカウント内のアプリケーションスタック外のリソースにアクセスまたは変更する権限を昇格させることができます。影響を受けるバージョン: =1.0.7 AND <=1.0.10この AWS セキュリティブルLETIN に関連する最新かつ完全な情報については、以下の記事を参照してください。記事を読む