CVE-2026-81838 – awsdac での Zip Slip パストラバーサル (diagram-as-code)
速報 ID: 2026-090-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
発行日: 2026 年 8 月 27 日 13 時 00 分 (PDT)
最終更新日: 2026 年 8 月 28 日 午前 9 時 30 分 (PDT)
説明:
awsdac (diagram-as-code) は、YAML 定義から AWS アーキテクチャ図を生成する CLI ツールで、バージョン管理されたコード駆動型の図作成を可能にします。AWS は、Zip Slip (パストラバーサル) の脆弱性である CVE-2026-81838 を特定しました。awsdac が定義ファイル内の ZipFile リソースによって参照される ZIP アーカイブを抽出する際、細工されたアーカイブによって、意図されたキャッシュディレクトリの外側 (awsdac を実行しているユーザーが書き込み可能な任意のパス) にファイルが書き込まれる可能性があります。書き込まれるファイルによっては、任意のコード実行につながる可能性があります。
信頼できないソースからの定義ファイルが処理された場合、この脆弱性が悪用されます。これは以下のいずれかの場合に発生する可能性があります。
- awsdac が定義ファイルの信頼制限なしで実行された場合 (バージョン 0.22.4 以前では信頼の区別がなく、バージョン 0.22.4 以降では --allow-untrusted-definitions フラグが必要です)
- 定義 URL の許可リストをバイパスするローカルファイルシステム (`Type: LocalFile`) から定義ファイルが読み込まれた場合。
信頼されないソース、または半信頼されたソースからの定義ファイルを処理する CI/CD 環境が主なリスクシナリオとなります。
awsdac は、アーキテクチャ図をローカルでレンダリングするクライアントサイドの CLI ツールです。この問題は、AWS サービス、AWS アカウント、お客様のデータには影響しません。影響は awsdac が実行されているマシンに限定されます。
影響を受けるバージョン :awsdac: バージョン 0.10 ～ 0.23
解決方法:
この問題はバージョン 0.24 で解決されました。最新バージョンにアップグレードし、フォークしたコードや派生コードにパッチを適用して新しい修正を反映させることをお勧めします。
回避策:
すぐにアップグレードできない場合:
- 信頼できるソースからの定義ファイル (ローカルファイルを含む) のみを処理してください。
- awsdac を --allow-untrusted-definitions フラグ付きで実行しないでください (バージョン 0.22.4 以降)。
- CI/CD パイプラインでは、awsdac が使用する定義ファイルをレビュー済みで信頼できるコンテンツに限定してください。
参考情報:
謝辞:
協調的脆弱性開示プロセスを通じてこの問題に協力してくださった George Chen 氏に感謝いたします。
セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com までメールでお問い合わせください。