--- title: "Amazon Virtual Engineering Workbench の公開コンポーネントにテンプレート注入 CVE-2026-119085（CVSS v4.0 9.4）: 認証済みの第三者が任意コードを実行できるおそれ、c146486 で修正" url: https://n-t-p.io/worldsecurity/articles/amazon-virtual-engineering-workbench-publishing-template-injection-cve-2026-119085 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月2日 updated: 2026年11月2日 severity: 高 cve: CVE-2026-119085 --- # Amazon Virtual Engineering Workbench の公開コンポーネントにテンプレート注入 CVE-2026-119085（CVSS v4.0 9.4）: 認証済みの第三者が任意コードを実行できるおそれ、c146486 で修正 > **TL;DR:** Amazon Virtual Engineering Workbench のコミット c146486 より前で、公開コンポーネントにテンプレート注入があり、認証済みの第三者が公開処理 Lambda の IAM ロールの権限で任意コードを実行できるおそれ（CVE-2026-119085、CWE-1336）。CVSS v4.0 9.4・v3.1 8.8、KEV なし、EPSS は未算定。最新の main から再デプロイして修正。 **要点** - VEW の公開コンポーネントで、バージョン管理 API に送る CloudFormation テンプレート本文のテンプレートエンジン指示が無害化されず、任意コードが実行されるおそれ（CVE-2026-119085） - 認証が必要（PR:L）。成功すると公開処理 Lambda の IAM ロールの権限で動き、全テナントのプロジェクトのデータとリソースに届き得る - CVSS v4.0 9.4・v3.1 8.8（AWS が付与）。NVD は Received で分析は未実施。KEV 掲載なし、EPSS は未算定 - 修正はコミット c146486（PR #31）。最新の main から再デプロイする。回避策はなく、製品バージョンを作成・更新できるユーザーを絞ると影響を減らせる - 悪用の有無と、運用している環境の範囲は未確認 AWS は 2026-11-02（太平洋時間）にセキュリティ情報 2026-162-AWS を出し、NVD も同日に、オープンソースの開発環境基盤「Amazon Virtual Engineering Workbench（VEW）」の脆弱性 CVE-2026-119085 を登録しました。VEW は、プラットフォームエンジニアが開発環境を定義・公開し、開発者が Web ポータルから必要に応じて払い出す仕組みです。その「公開（publishing）」を担うコンポーネントで、テンプレートエンジン向けの特殊な記述が適切に無害化されておらず、リモートの認証済みの第三者が、公開処理を行う Lambda 関数の IAM ロールの権限で任意のコードを実行できるおそれがあります。 ## 何が起きるか - **種類（CWE-1336）**: テンプレートエンジンで使う特殊要素の不適切な無害化（テンプレート注入）です。 - **到達方法**: 製品のバージョン管理 API に送る CloudFormation テンプレートの本文に、テンプレートエンジンの指示が含まれていると、公開処理の中で実行されます。 - **影響**: 公開処理の Lambda の IAM ロールの権限で任意コードが動き、すべてのテナントのプロジェクトにまたがるデータとリソースにアクセスされるおそれがあります（AWS のセキュリティ情報）。 - **前提**: 認証が必要です（NVD のベクターは PR:L＝低い権限）。ユーザー操作は要りません（UI:N）。製品版のバージョンを作成・更新できるユーザーが起点になります。 - **評価**: CVSS v4.0 は 9.4（CRITICAL。AV:N/AC:L/AT:N/PR:L/UI:N、機密性・完全性・可用性が High、後続システムへの影響も High）、CVSS v3.1 は 8.8（HIGH）です。どちらも AWS（CNA）が付けた値（種別 Secondary）で、NVD 自身の分析は未実施（Received）です。 - 攻撃の具体的な手順は、本記事では扱いません。 ## 影響範囲と修正 | 項目 | 内容 | |---|---| | 影響を受ける版 | コミット c146486（PR #31、2026-05-04 にマージ）より前のすべての版 | | 修正 | コミット c146486（PR #31）。最新の main ブランチから再デプロイする | | 回避策 | 取り除く回避策はありません。再デプロイまでの間は、製品バージョンを作成・更新できるユーザーを絞ることで影響を減らせます（AWS） | | その他 | VEW から派生・フォークしたコードを使っている場合は、同じ修正を取り込む必要があります（AWS） | ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | CVE | CVE-2026-119085 | | CVSS v4.0 | 9.4（CRITICAL。種別 Secondary、提供元は AWS） | | CVSS v3.1 | 8.8（HIGH。AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H、種別 Secondary） | | CWE | CWE-1336 | | NVD の状態 | Received（NVD 自身の分析は未実施） | | NVD 公開日 | 2026-11-02 | | EPSS | 未算定（FIRST の API に該当データなし） | | KEV | 掲載なし（CISA のカタログに該当なし） | | 出典 | NVD、AWS セキュリティ情報 2026-162-AWS、FIRST（EPSS）、CISA（KEV） | ## severity を high とした提案の理由 CVSS v4.0 は 9.4 ですが、攻撃には認証（バージョンを作成・更新できる権限）が要ります。過去の判断の基準（認証不要かつ CVSS 9 以上は critical、それ以外は high）に従い、high を提案します。一方で、成功すると全テナントのデータに届き得るため、VEW を運用している組織では優先度を高く扱う価値があります。 ## 対応として考えられること 1. VEW（awslabs/virtual-engineering-workbench）を自分の環境にデプロイしているかを確認します。フォークや派生コードも対象です。 2. 該当する場合は、c146486 を含む最新の main から再デプロイします。 3. 再デプロイまでの間は、製品バージョンを作成・更新できるユーザーを必要最小限にし、公開処理の Lambda の実行ログと CloudTrail で、想定外のバージョン登録がないかを見ます。 ## 未確認の点 - 実際の攻撃での悪用は確認していません。 - VEW を実際に運用している組織や環境の数は確認できていません。 - AWS のセキュリティ情報は、修正済みのリリース番号ではなくコミットで版を示しています。リリースタグでの対応関係は確認していません。 - NVD の分析は未実施です。 ## 出典 - [NVD CVE-2026-119085](https://nvd.nist.gov/vuln/detail/CVE-2026-119085) — NIST NVD - [AWS セキュリティ情報 2026-162-AWS](https://aws.amazon.com/security/security-bulletins/2026-162-aws/) — Amazon Web Services - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-119085) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/amazon-virtual-engineering-workbench-publishing-template-injection-cve-2026-119085