- Yama var
- Son 7 gün
- CWE-346
CVE-2026-115413
AWS API MCP Server OAuth modunda token hedef kitle (audience) doğrulama atlatma açığı
- Yayımlandı
- Güncellendi
- 27 Eki 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- AMZN
Yönetici özeti
Bu açık, yapay zeka araçlarını bulut hesabınıza bağlayan bir bileşende yetkisiz erişime yol açabilir ve şirketinizin bulut ortamında kontrolsüz işlemlere neden olabilir. Etkilenen sistemler için güncelleme öncelikli olarak planlanmalıdır.
ÖzetTürkçe
AWS API MCP Server'ın 1.6.0 öncesi sürümlerinde, OAuth kimlik doğrulama modunda erişim belirteçlerinin hedef kitle (audience) alanı doğrulanmıyor. Bu nedenle aynı kimlik sağlayıcısından başka bir uygulamaya verilmiş bir erişim belirteci, sunucunun yapılandırılmış AWS kimlik bilgileriyle işlem yapmak için kullanılabilir. Etkilenen sürümler 1.3.0 ile 1.6.0 öncesi arasındaki sürümlerdir.
Saldırgan ne yapabilir?
Yerel kullanıcılar, başka bir uygulama için verilmiş bir belirteçle sunucunun AWS kimlik bilgilerini kullanarak AWS işlemleri çalıştırabilir. Bu da yetkisiz AWS erişimi ve veri okuma, değiştirme veya kaynak yönetimi riski doğurur.
Kaynaktaki açıklama (İngilizce)
Missing token audience validation in the OAuth authentication mode of AWS API MCP Server before version 1.6.0 might allow local users to run AWS operations with the server's configured AWS credentials via an access token issued to another application by the same identity provider.
To remediate this issue, users should upgrade to version 1.6.0 and configure the expected token audience or client ID for the server.
Ne yapmalı?
- AWS API MCP Server'ı 1.6.0 veya daha yeni bir sürüme yükseltin. Üretici
- Sunucu için beklenen token hedef kitlesini (audience) veya istemci kimliğini (client ID) yapılandırın. Üretici
- Yükseltmeden önce sunucunun kullandığı AWS kimlik bilgilerinin yetkilerini gözden geçirin ve gereksiz yetkileri kaldırın. Genel öneri
Ek önlemler
- Sunucunun AWS üzerinde yaptığı işlemleri CloudTrail gibi denetim kayıtlarıyla izleyin ve beklenmeyen çağrıları inceleyin. Genel öneri
- Sunucunun kimlik bilgilerini en az yetki ilkesine göre sınırlandırın. Genel öneri
- Sunucuya yalnızca güvenilir yerel kullanıcıların erişebildiğinden emin olun. Genel öneri
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| aws-api-mcp-server | ≥ 1.3.0, < 1.6.0 | 1.6.0 |
Kaynaklar5 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.