Apa yang terjadi
CWE-863/CWE-1025 authorization bypass. Kebijakan membandingkan nama operasi setelah normalisasi yang gagal pada nama dengan huruf kapital berurutan, sehingga agen dapat mencapai panggilan API AWS yang secara eksplisit ditolak operator atau ditandai memerlukan persetujuan. CVSS 7.8 (3.1) / 8.5 (4.0).
Mengapa penting
Ini adalah kegagalan pengaman di tempat yang tepat di mana izin AWS agen AI harus dibatasi. Celah normalisasi memungkinkan agen melewati kontrol penolakan/elicitation dan bertindak di seluruh layanan AWS.
Vektor serangan
Normalisasi nama operasi yang salah dalam penegakan kebijakan keamanan kustom memungkinkan aktor memanggil operasi API AWS yang namanya mengandung huruf kapital berurutan, menghindari aturan penolakan atau elicitation yang diwajibkan.
Sistem yang terdampak
awslabs aws-api-mcp-server 0.2.13 hingga <1.5.1 (PyPI awslabs.aws-api-mcp-server)
Mitigasi
Tingkatkan ke aws-api-mcp-server 1.5.1 (buletin keamanan AWS 2026-176-aws; GitHub GHSA-4wq9-grf3-qg2p).