CVE-2026-85012

Amazon Web Services codecatalyst-blueprints versiya 0.3.156-dan əvvəlki blueprint resynthesis çərçivəsində ƏS əmrində istifadə olunan xüsusi elementlərin yanlış neytrallaşdırılması (CWE-78), layihədə repozitoriyaya commit etmək icazəsi olan istifadəçiyə düzəldilmiş .ownership-file faylının [local] birləşdirmə strategiyası girişinin owner sahəsində shell metasimgollar vasitəsilə blueprint resynthesis mühitində ixtiyari əmrləri icra etməyə imkan verə bilər. Versiya 0.3.156 owner sahəsinin shell tərəfindən şərh edilməsini ləğv edir, əmri shell vasitəsilə deyil, birbaşa icra edir və ağ siyahıya alınmış əmr formasından kənar dəyərləri rədd edir. Bu, shell metasimgol komanda inyeksiyasını aradan qaldırır. Problemi həll etmək üçün istifadəçilər versiyanı 0.3.156 və ya daha yeni versiyaya yüksəltməlidirlər. Amazon CodeCatalyst xidmətindən istifadə üçün heç bir tədbir tələb olunmur. Resynthesis prosesi məhdudlaşdırılmış etibarnamələrlə hər layihə üçün izolyasiya edilmiş mühitdə işləyir və xidmət orada, o cümlədən 0.3.156-dan əvvəl dərc edilmiş blueprint versiyaları üçün belə, məhdudlaşdırılmış ağ siyahı formasından kənar [local] birləşdirmə strategiyası əmrlərini rədd edən server tərəfli validasiyanı tətbiq edir.