CVE-2026-12064 (MEDIUM): detected in Lambda Docker Images.

Đã đóng
  • Có gì không ổn?
#686 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

Đánh giá

Độ khó
3/5
Thời gian dự kiến
1-2 ngày
Mức phù hợp với người mới
52/100
Loại issue
Lỗi
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
aws, docker, linux
Lĩnh vực
cloud, devops, security

Hướng nghiên cứu

Start by locating the build definitions for the affected Lambda Python and Java images listed in the issue, then inspect how the Amazon Linux curl package is selected. Update curl from 8.3.0-1.amzn2.0.12 to 8.3.0-1.amzn2.0.13 for all affected images. Done means the images contain the fixed package version and the vulnerability scan no longer reports CVE-2026-12064.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

CVE Details

CVE ID Severity Affected Package Installed Version Fixed Version Date Published Date of Scan
CVE-2026-12064 MEDIUM curl 8.3.0-1.amzn2.0.12 8.3.0-1.amzn2.0.13 2026-07-03T07:16:24.217Z 2026-09-29T10:18:43.668447878Z

Affected Docker Images

Image Name SHA
public.ecr.aws/lambda/python:3.11 public.ecr.aws/lambda/python@sha256:72d0a1cfe6bbca072ccdd4b1c6028130226d4c4b4e26ca54a073cb2fc6003ba5
public.ecr.aws/lambda/python:3.10 public.ecr.aws/lambda/python@sha256:1f40f88fb669042cda226825a5507e17c55ea3e54dfca4482e475212b2645f35
public.ecr.aws/lambda/java:17 public.ecr.aws/lambda/java@sha256:d438a56fb86ab9cdb6bbde3ea00e192f5af0e2ecf45d51daa4f6d85860eae200
public.ecr.aws/lambda/java:11 public.ecr.aws/lambda/java@sha256:d7a81d31aa9d32313e341a40cee42ff95702c0a575afdea3b3abaa39c5581d3c
public.ecr.aws/lambda/java:8.al2 public.ecr.aws/lambda/java@sha256:2aa1457e2c5d17fe3250b42a3714844e81f1879f125ba81dfc2c7b38d4b10512

Description

When a user invokes curl using a schemeless URL combined with
--proto-default sftp (or scp), a disconnect occurs between the tool layer
and libcurl. The tool layer incorrectly infers the URL scheme, which
erroneously bypasses the initialization of critical SSH security options like
CURLOPT_SSH_HOST_PUBLIC_KEY_SHA256 and CURLOPT_SSH_KNOWNHOSTS. Conversely, the
libcurl runtime successfully honors CURLOPT_DEFAULT_PROTOCOL and establishes
the connection via SFTP/SCP as specified. Because the tool layer skipped the
security configuration, these SSH host verification options are silently
omitted, causing curl to connect to an unverified SSH remote host without
throwing an error.

Remediation Steps
  • Update the affected package curl from version 8.3.0-1.amzn2.0.12 to 8.3.0-1.amzn2.0.13.
About this issue
  • This issue may not contain all the information about the CVE nor the images it affects.
  • This issue will not be updated with new information and the list of affected images may have changed since the creation of this issue.
  • For more, visit Lambda Watchdog.
  • This issue was created automatically by Lambda Watchdog.
Ngôn ngữ chính
Không có dữ liệu ngôn ngữ
Star
775
Fork
117
Không có pull request nào được merge trong 30 ngày

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của aws/aws-lambda-base-images

Tất cả issue của aws/aws-lambda-base-images

Issue tương tự

Thêm issue về Cloud

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.