AWS פרסמה התראת אבטחה עבור CVE‑2026‑119085 ב־Virtual Engineering Workbench (VEW), פלטפורמת קוד פתוח שבה צוותי פלטפורמה מגדירים ומפרסמים סביבות פיתוח. החולשה מאפשרת למשתמש מרוחק ומאומת להחדיר הוראות למנוע תבניות ולהריץ קוד בהרשאות תפקיד ה־IAM של פונקציית ה־Lambda המפרסמת.
מהו מסלול התקיפה
לפי AWS, הקוד הפגיע נגיש באמצעות גוף CloudFormation Template זדוני שמכיל Template Engine Directives ונשלח דרך Product Versioning API. כאשר רכיב הפרסום מעבד את התבנית ללא נטרול מספק, ההוראות עלולות להתפרש כקוד.
ההשפעה אינה מוגבלת לפרויקט יחיד: הרצת הקוד מתבצעת בהרשאות ה־IAM Role של ה־Publishing Lambda, ולכן היא עלולה לאפשר גישה לנתונים ולמשאבים בין פרויקטים של דיירים שונים, בהתאם להרשאות שהוגדרו לתפקיד.
אילו גרסאות מושפעות
כל ה־Commits שקדמו ל־c146486 מושפעים. התיקון מוזג ב־Pull Request מספר 31 ב־4 במאי 2026. מאחר ש־VEW מופצת כפרויקט קוד פתוח ולא כחבילת גרסה רגילה, AWS ממליצה לפרוס מחדש מהענף הראשי העדכני ולוודא שגם Forks וקוד נגזר כוללים את התיקון.
אין Workaround מלא
AWS מציינת שאין דרך עוקפת שמסירה את החולשה. עד לפריסה מחדש אפשר לצמצם את שטח התקיפה על ידי הגבלת המשתמשים שמורשים ליצור או לעדכן Product Versions, אך זו הקטנת סיכון בלבד.
- לזהות פריסות VEW ו־Forks המבוססים על Commit ישן.
- לגבות תצורה ולפרוס מחדש מהגרסה העדכנית של הענף הראשי.
- לבדוק את הרשאות ה־IAM של Publishing Lambda ולצמצם אותן לעקרון Least Privilege.
- לסקור לוגים של Product Versioning API ותבניות CloudFormation חריגות.
מקורות: AWS Security Bulletin 2026‑162; GitHub Advisory Database.
קרדיט תמונה: Thirdman / Pexels. מקור: Pexels. רישיון Pexels Free מתיר שימוש באתר, בסושיאל ובקמפיינים שיווקיים וכן עריכה. התמונה להמחשה בלבד ואינה מציגה מוצר של AWS.
