מדיניות האבטחה אמרה "אסור" — אבל שם פעולה שנורמל בצורה שגויה לא תאם לכלל. זו תמצית CVE-2026-125271, חולשה ב-AWS API MCP Server שעלולה הייתה לאפשר לעוזר AI לבצע פעולות AWS שהמפעיל הגדיר כחסומות או ככאלה שדורשות אישור מפורש.
AWS פרסמה את עלון האבטחה ב-10 בנובמבר 2026. לפי החברה, הבעיה קיימת בגרסאות 0.2.13 ועד 1.5.0 ותוקנה בגרסה 1.5.1. אין מעקף תצורה רשמי: ההמלצה היא לשדרג.
מהו AWS API MCP Server?
זהו שרת קוד פתוח של Model Context Protocol שמאפשר לעוזרי AI לעבוד מול חשבון AWS באמצעות קריאות API. מבחינת צוות תשתיות, המשמעות היא שעוזר יכול לקבל כלים לתיאור משאבים, לקריאת נתונים ולעיתים גם לביצוע פעולות — בהתאם להרשאות IAM ולמדיניות האבטחה שמוגדרת בשרת.
המוצר כולל מנגנוני denyList לפעולות שאסור לבצע ו-elicitList לפעולות שדורשות בקשת אישור מהמשתמש. כאשר ההתאמה בין שם הפעולה לכלל המדיניות נכשלת, שכבת הבקרה עלולה לא לזהות פעולה שצריכה להיחסם.
איך הכשל התרחש?
לפי AWS, השרת נרמל את שמות הפעולות בצורה לא נכונה לפני ההשוואה למדיניות. שמות הכוללים כמה אותיות גדולות רצופות לא התאימו לערך שנכתב נכון ב-denyList או ב-elicitList. התוצאה האפשרית: פעולה שהוגדרה כאסורה לא זוהתה כאסורה, או פעולה שהייתה אמורה לבקש אישור לא הפעילה את שלב האישור.
זו דוגמה קלאסית לכך שאכיפת אבטחה תלויה לא רק בכלל עצמו אלא גם בייצוג המדויק של הקלט. אם צד אחד ממיר שם פעולה באופן אחד וצד שני באופן אחר, השוואת המחרוזות עלולה להיכשל גם כשהכוונה ברורה לבני אדם.
מי מושפע?
- מושפע: awslabs.aws-api-mcp-server בגרסאות 0.2.13 ומעלה ועד לפני 1.5.1.
- מתוקן: גרסה 1.5.1 ומעלה.
- תנאי סיכון: שימוש במדיניות מותאמת אישית שמסתמכת על denyList או elicitList לפעולות ששמן כולל אותיות גדולות רצופות.
- מעקף: AWS אומרת שאין פתרון זמני מלבד שדרוג.
מה צוותי IT ואבטחה צריכים לעשות עכשיו?
- זהו גרסאות: בדקו את גרסת החבילה בכל סביבה, כולל מכונות מפתחים, קונטיינרים ו-CI.
- שדרגו ל-1.5.1 או חדש יותר: אם קיים Fork או קוד נגזר, ודאו שהתיקון שולב בו ולא רק בחבילה הראשית.
- בדקו לוגים: חפשו קריאות API שבוצעו דרך השרת בתקופה שבה רצה גרסה פגיעה, במיוחד פעולות שהיו אמורות להיחסם או לדרוש אישור.
- אל תסתמכו על שכבה אחת: צמצמו הרשאות IAM של הזהות שבה משתמש השרת. denyList בתוך כלי AI אינה תחליף ל-Least Privilege בענן.
- הריצו בדיקות שליליות: לאחר השדרוג נסו במפורש פעולות אסורות ובדקו שהן נחסמות, כולל שמות עם ראשי תיבות ואותיות גדולות רצופות.
למה זה חשוב מעבר ל-CVE הספציפי?
כלי MCP מחברים מודל שפה לפעולות אמיתיות. טעות בהתאמת שמות אינה עוד באג תצוגה: היא עלולה לשנות את הגבול בין הצעה של העוזר לבין פעולה בחשבון ענן. לכן מדיניות ברמת השרת צריכה להיות שכבת הגנה נוספת מעל IAM, הפרדת חשבונות, רישום מלא ואישור אנושי לפעולות רגישות.
כדאי גם להתייחס לשמות פעולות כאל ממשק אבטחה. בדיקות יחידה צריכות לכסות ראשי תיבות, רצפים של אותיות גדולות, מקפים, קווים תחתונים ושינויי Case — במיוחד כאשר החלטת הרשאה נשענת על השוואת מחרוזות.
השורה התחתונה
CVE-2026-125271 אינה חולשה בשירות AWS מנוהל אלא בשרת MCP פתוח שמפעילים בסביבה שלכם. אם מותקנת גרסה בין 0.2.13 ל-1.5.0, יש לשדרג ל-1.5.1 לפחות. מאחר שאין מעקף רשמי, דחיית השדרוג משאירה את אכיפת ה-denyList וה-elicitList בספק.
מקורות: AWS Security Bulletin 2026-176-AWS; GHSA-4wq9-grf3-qg2p.
תמונה ראשית: Damian Kamp / Unsplash. שימוש בהתאם לרישיון Unsplash, המתיר שימוש מסחרי ולא-מסחרי באתר, ברשתות חברתיות ובשיווק; אין למכור את התמונה ללא שינוי או לאסוף אותה לשירות תמונות מתחרה.
