検索NeSC を見る
脆弱性・CVE速報深刻度: 高

Amazon Virtual Engineering Workbench の公開コンポーネントにテンプレート注入 CVE-2026-119085（CVSS v4.0 9.4）: 認証済みの第三者が任意コードを実行できるおそれ、c146486 で修正

World Security 編集部
目次（6）

CVE-2026-119085

AWS は 2026-11-02（太平洋時間）にセキュリティ情報 2026-162-AWS を出し、NVD も同日に、オープンソースの開発環境基盤「Amazon Virtual Engineering Workbench（VEW）」の脆弱性 CVE-2026-119085 を登録しました。VEW は、プラットフォームエンジニアが開発環境を定義・公開し、開発者が Web ポータルから必要に応じて払い出す仕組みです。その「公開（publishing）」を担うコンポーネントで、テンプレートエンジン向けの特殊な記述が適切に無害化されておらず、リモートの認証済みの第三者が、公開処理を行う Lambda 関数の IAM ロールの権限で任意のコードを実行できるおそれがあります。

何が起きるか

  • 種類（CWE-1336）: テンプレートエンジンで使う特殊要素の不適切な無害化（テンプレート注入）です。
  • 到達方法: 製品のバージョン管理 API に送る CloudFormation テンプレートの本文に、テンプレートエンジンの指示が含まれていると、公開処理の中で実行されます。
  • 影響: 公開処理の Lambda の IAM ロールの権限で任意コードが動き、すべてのテナントのプロジェクトにまたがるデータとリソースにアクセスされるおそれがあります（AWS のセキュリティ情報）。
  • 前提: 認証が必要です（NVD のベクターは PR:L＝低い権限）。ユーザー操作は要りません（UI:N）。製品版のバージョンを作成・更新できるユーザーが起点になります。
  • 評価: CVSS v4.0 は 9.4（CRITICAL。AV:N/AC:L/AT:N/PR:L/UI:N、機密性・完全性・可用性が High、後続システムへの影響も High）、CVSS v3.1 は 8.8（HIGH）です。どちらも AWS（CNA）が付けた値（種別 Secondary）で、NVD 自身の分析は未実施（Received）です。
  • 攻撃の具体的な手順は、本記事では扱いません。

影響範囲と修正

項目内容
影響を受ける版コミット c146486（PR #31、2026-05-04 にマージ）より前のすべての版
修正コミット c146486（PR #31）。最新の main ブランチから再デプロイする
回避策取り除く回避策はありません。再デプロイまでの間は、製品バージョンを作成・更新できるユーザーを絞ることで影響を減らせます（AWS）
その他VEW から派生・フォークしたコードを使っている場合は、同じ修正を取り込む必要があります（AWS）

数値と出典（2026-11-03 時点）

項目内容
CVECVE-2026-119085
CVSS v4.09.4（CRITICAL。種別 Secondary、提供元は AWS）
CVSS v3.18.8（HIGH。AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H、種別 Secondary）
CWECWE-1336
NVD の状態Received（NVD 自身の分析は未実施）
NVD 公開日2026-11-02
EPSS未算定（FIRST の API に該当データなし）
KEV掲載なし（CISA のカタログに該当なし）
出典NVD、AWS セキュリティ情報 2026-162-AWS、FIRST（EPSS）、CISA（KEV）

severity を high とした提案の理由

CVSS v4.0 は 9.4 ですが、攻撃には認証（バージョンを作成・更新できる権限）が要ります。過去の判断の基準（認証不要かつ CVSS 9 以上は critical、それ以外は high）に従い、high を提案します。一方で、成功すると全テナントのデータに届き得るため、VEW を運用している組織では優先度を高く扱う価値があります。

対応として考えられること

  1. VEW（awslabs/virtual-engineering-workbench）を自分の環境にデプロイしているかを確認します。フォークや派生コードも対象です。
  2. 該当する場合は、c146486 を含む最新の main から再デプロイします。
  3. 再デプロイまでの間は、製品バージョンを作成・更新できるユーザーを必要最小限にし、公開処理の Lambda の実行ログと CloudTrail で、想定外のバージョン登録がないかを見ます。

未確認の点

  • 実際の攻撃での悪用は確認していません。
  • VEW を実際に運用している組織や環境の数は確認できていません。
  • AWS のセキュリティ情報は、修正済みのリリース番号ではなくコミットで版を示しています。リリースタグでの対応関係は確認していません。
  • NVD の分析は未実施です。

この記事について

出典

この記事を共有

この記事の Markdown 版（LLM向け） ↗

関連記事