CVE-2026-80230 (HIGH): detected in Lambda Docker Images.

Chiusa
  • Qualcosa non va?
#685 0 commenti 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
4/5
Tempo stimato
3-5 giorni
Idoneità per principianti
42/100
Tipo di issue
Bug
Chiarezza
Abbastanza chiara
Stato di attività
Attiva
Stack tecnologico
aws, docker
Ambito
cloud, devops, security

Direzione di ricerca

No repository files or tests are named. Start by tracing how the listed Lambda base-image tags are built and where the Amazon Linux curl package version is selected. Verify the affected images contain curl 8.3.0-1.amzn2.0.13 and confirm the vulnerability scan no longer reports CVE-2026-80230.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

CVE Details

CVE ID Severity Affected Package Installed Version Fixed Version Date Published Date of Scan
CVE-2026-80230 HIGH curl 8.3.0-1.amzn2.0.12 8.3.0-1.amzn2.0.13 2026-09-06T18:17:22.327Z 2026-09-29T10:18:43.668447878Z

Affected Docker Images

Image Name SHA
public.ecr.aws/lambda/python:3.11 public.ecr.aws/lambda/python@sha256:72d0a1cfe6bbca072ccdd4b1c6028130226d4c4b4e26ca54a073cb2fc6003ba5
public.ecr.aws/lambda/python:3.10 public.ecr.aws/lambda/python@sha256:1f40f88fb669042cda226825a5507e17c55ea3e54dfca4482e475212b2645f35
public.ecr.aws/lambda/java:17 public.ecr.aws/lambda/java@sha256:d438a56fb86ab9cdb6bbde3ea00e192f5af0e2ecf45d51daa4f6d85860eae200
public.ecr.aws/lambda/java:11 public.ecr.aws/lambda/java@sha256:d7a81d31aa9d32313e341a40cee42ff95702c0a575afdea3b3abaa39c5581d3c
public.ecr.aws/lambda/java:8.al2 public.ecr.aws/lambda/java@sha256:2aa1457e2c5d17fe3250b42a3714844e81f1879f125ba81dfc2c7b38d4b10512

Description

When CURLOPT_PINNEDPUBLICKEY is configured alongside options that disable
standard peer verification (CURLOPT_SSL_VERIFYPEER = 0 and
CURLOPT_SSL_VERIFYHOST = 0), libcurl fails to enforce public key pinning on
connections established without a presented server certificate. Bypassing the
pinning check under these disabled-verification conditions allows
unauthenticated connections to succeed when they should be rejected.

Remediation Steps
  • Update the affected package curl from version 8.3.0-1.amzn2.0.12 to 8.3.0-1.amzn2.0.13.
About this issue
  • This issue may not contain all the information about the CVE nor the images it affects.
  • This issue will not be updated with new information and the list of affected images may have changed since the creation of this issue.
  • For more, visit Lambda Watchdog.
  • This issue was created automatically by Lambda Watchdog.
Lingua principale
Nessun dato sulla lingua
Stelle
775
Fork
117
Nessuna PR unita negli ultimi 30g

Preparare l'ambiente

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di aws/aws-lambda-base-images

Tutte le issue di aws/aws-lambda-base-images

Issue simili

Altre issue su Cloud

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.