AWS SAM CLI < 1.133.0 の複数の脆弱性
medium Nessus プラグイン ID 233868
Language:
概要
リモートホストにインストールされている AWS SAM CLI インスタンスは、複数の脆弱性の影響を受けます。説明
リモートホストにインストールされている AWS SAM CLI は、1.133.0 より前のバージョンです。このため、以下の複数の脆弱性の影響を受けます。- AWS SAM CLI ビルドプロセスを Docker で実行し、シンボリックリンクがビルドファイルに含まれている場合、コンテナ環境により、ユーザーはツールに付与された昇格されたアクセス許可を利用して、ホスト上の権限のあるファイルにアクセスすることができます。ユーザーは、昇格したアクセス許可を利用して、シンボリックリンクを介して制限されたファイルにアクセスし、それらをコンテナ上のより許可された場所にコピーする可能性があります。この問題は、v1.132.0 以前の AWS SAM CLI に影響しますが、v1.133.0 で解決されています。
アップグレード後も以前の動作を維持し、シンボリックリンクをホストマシン上で解決できるようにするには、明示的な「--mount-symlinks」パラメーターを使用してください。(CVE-2025-3047)
- AWS SAM CLI でシンボリックリンクを含むビルドが完了すると、シンボリックリンクのコンテンツがローカルワークスペースのキャッシュに通常のファイルまたはディレクトリとしてコピーされます。その結果、Docker コンテナの外部でこれらのシンボリックリンクにアクセスできないユーザーが、ローカルのワークスペースを介してアクセスできるようになります。この問題は、v1.133.0 以前の AWS SAM CLI に影響を与えますが、v1.134.0 で解決されています。アップグレード後、ユーザーはシンボリックリンクを更新するために sam ビルド --use-container を使用してアプリケーションを再構築する必要があります。(CVE-2025-3048)
Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
Devolutions Remote Desktop Manager バージョン 1.133.0 以降にアップグレードしてください。参考資料
https://aws.amazon.com/security/security-bulletins/AWS-2025-008/
プラグインの詳細
深刻度: Medium
ID: 233868
ファイル名: aws_sam_cli_1_133.nasl
バージョン: 1.1
タイプ: local
エージェント: windows
ファミリー: Windows
公開日: 2025/4/4
更新日: 2025/4/4
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3.6
CVSS v2
リスクファクター: High
基本値: 7.1
ベクトル: CVSS2#AV:N/AC:M/Au:N/C:C/I:N/A:N
CVSS スコアのソース: CVE-2025-3047
CVSS v3
リスクファクター: Medium
基本値: 6.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N
脆弱性情報
CPE: x-cpe:/a:aws:sam_cli
必要な KB アイテム: installed_sw/AWS SAM CLI
パッチ公開日: 2025/2/7
脆弱性公開日: 2025/3/31
参照情報
CVE: CVE-2025-3047, CVE-2025-3048
IAVB: 2025-A-0212