AWSのサーバーレスCI/CDサンプルに権限不備、既存スタック更新を

AWSは2026年10月21日、開発から展開までを自動化するCI/CDのサンプル「CICD-toolchain-for-serverless-applications」に、権限割り当ての不備があると公表しました。アプリのソースリポジトリへ変更を送る権限を持つ攻撃者が、同じAWSアカウント内のアプリの管理範囲外にあるリソースを参照・変更できる恐れがあります。AWSは修正版の1.0.11を公開し、既存のツールチェーンスタックも更新するよう推奨しています。

対象はCI/CD構築用のサンプル、攻撃にはプッシュ権限が必要

脆弱性の識別子は「CVE-2026-112407」です。発表時刻は日本時間の2026年10月21日5時30分でした。

対象のサンプルは、AWS Serverless Application Repositoryを通じてCI/CDを構築するものです。AWSのサーバーレス環境全般を対象とした発表ではありません。まず、このサンプルや、そのコードを基にした仕組みを自社で使っているかを切り分ける必要があります。

不備があるのは、リソースへの操作権限を定めるIAMポリシーです。AWSによると、攻撃には認証に加え、アプリのソースリポジトリへのプッシュ権限が必要です。プッシュ権限とは、リポジトリにコードなどの変更を送る権限を指します。

攻撃者は、パイプラインが展開するアプリのテンプレートを通じて権限を昇格できます。その結果、同じAWSアカウント内で、アプリスタックの外にあるリソースを参照・変更できるとしています。確認すべき点は、リポジトリへの変更権限と、展開先で許される操作の範囲の両方です。

修正版は1.0.11、派生コードも修正対象

AWSの発表にある影響バージョンの表記は「=1.0.7 AND <=1.0.10」です。この表記を単純なバージョン範囲に読み替えず、利用版と照合してください。判定に迷う場合は、その表記を開発・運用担当に共有して確認するのがよいでしょう。

AWSは1.0.11で修正済みとし、既存のツールチェーンスタックを1.0.11以降へ更新するよう推奨しています。元のコードを複製して使うフォークや、独自に変更した派生コードにも、修正を取り込むよう求めています。回避策はないとしています。

日本での提供は発表には書かれていません。日本のリージョンに限定した影響条件も、今回の資料には記載されていません。

影響する会社・しない会社

• 影響する: 対象サンプルでCI/CDを構築し、発表の影響バージョン表記に該当する版を使っている会社です。既存のツールチェーンスタックが確認対象になります。
• 影響する: 対象サンプルのフォークや派生コードを使う会社です。独自に変更していても、修正を取り込んでいるかの確認が必要です。
• 影響しない: 対象サンプルも、そのフォーク・派生コードも使っていない会社は、今回の対象には該当しません。AWSやサーバーレス環境を利用しているという理由だけで対象になるわけではありません。

情シスが今日やること

1. 今日中に、利用の有無を開発・運用担当へ確認します。 対象サンプルの正式名を伝え、既存のツールチェーンスタックと、その構築に使ったコードを確認してもらいます。外部に運用を委託している場合は、委託先にも同じ確認を依頼します。
2. 利用している場合は、版と修正状況を記録します。 構築元のコードや展開記録で利用版を調べ、発表の「=1.0.7 AND <=1.0.10」と照合します。具体的な管理画面の操作経路は発表には書かれていないため、版を確認できない場合も、そのまま未確認として担当者に伝えます。
3. リポジトリの権限設定を担当者と確認します。 アプリのソースリポジトリで、誰がプッシュできるかを確認します。これは攻撃条件の把握であり、AWSが示す更新の代わりとなる回避策ではありません。
4. 更新担当と実施日を決めます。 既存スタックは1.0.11以降への更新を手配し、フォーク・派生コードは修正の取り込みを依頼します。発表に更新期限の指定はありませんが、今日の確認結果を基に担当者と実施日を決め、完了後は更新先の版と修正状況を報告してもらいます。