Um problema de alta gravidade foi encontrado no Amazon Q Developer, permitindo que um repositório malicioso executasse comandos e roubasse credenciais de nuvem de um desenvolvedor. A exploração ocorria quando um desenvolvedor abria o repositório, confiava no workspace, e o Amazon Q fazia o resto. A Amazon já corrigiu a falha.
Detalhes Técnicos
A vulnerabilidade foi rastreada como CVE-2026-12957 e possui um CVSS de 7.8 (ALTO).
O problema estava relacionado à forma como o assistente de codificação de IA da Amazon lidava com servidores de Modelo de Contexto de Protocolo (MCP).
A falha permitia que um usuário local abrisse um workspace malicioso e executasse comandos dentro dos arquivos de configuração do projeto.
A solução é atualizar para Language Servers for AWS versão 1.65.0 ou superior.
Ações Recomendadas
Atualizar o Language Servers for AWS para a versão 1.65.0 ou superior.
Verificar se o workspace é confiável antes de abrir.
Monitorar os logs para detectar atividades suspeitas.
A CVE-2026-12957 foi publicada em 2026-06-23 e é considerada uma vulnerabilidade de alta gravidade.
