CVE-2024-45037

AWS Cloud Development Kit (CDK), bulut altyapısını kod kullanarak tanımlamak için kullanılan açık kaynaklı bir çerçevedir. Müşteriler, bunu kendi uygulamalarını oluşturmak için kullanır ve bu uygulamalar, müşterinin AWS hesabına dağıtım sırasında AWS CloudFormation şablonlarına dönüştürülür. CDK, varsayılanları ve en iyi uygulamaları sağlayan daha üst düzey soyutlamalar olan "constructs" adlı önceden oluşturulmuş bileşenler içerir. Bu yaklaşım, geliştiricilerin karmaşık bulut altyapılarını ham CloudFormation şablonları yazmaktan daha verimli bir şekilde tanımlamak için tanıdık programlama dillerini kullanmalarını sağlar. AWS Cloud Development Kit (CDK) içerisinde, belirli koşullar altında kimliği doğrulanmış Amazon Cognito kullanıcılarına amaçlandığından daha geniş erişim yetkisi verilmesine neden olabilecek bir sorun tespit edilmiştir. Özellikle, bir CDK uygulamasının "RestApi" construct'ını, yetkilendirici olarak "CognitoUserPoolAuthorizer" ile kullandığı ve erişimi sınırlamak için yetkilendirme kapsamlarını (authorization scopes) kullandığı durumlar söz konusudur. Bu sorun, ilgili API kaynaklarının kullanılabilirliğini etkilememektedir. Kimliği doğrulanmış Cognito kullanıcıları, korumalı API kaynaklarına veya yöntemlerine istenmeyen erişim sağlayabilir; bu da potansiyel veri ifşası ve değiştirme sorunlarına yol açabilir. Etkilenen sürümler: >=2.142.0; <=2.148.0. Bir yama, CDK >=2.148.1 sürümlerine dahil edilmiştir. Kullanıcıların bu sorunu gidermek için AWS CDK sürümlerini 2.148.1 veya daha yeni bir sürüme yükseltmeleri ve uygulama(lar)ını yeniden dağıtmaları önerilir.