AWSは10月8日午後0時30分（PDT）、aws-cdk-libのアセット同梱に関するCVE-2026-107608を公開した。Dockerファイルでアセットを同梱するとき、2.267.0未満では、同梱の入力に含まれないファイルやディレクトリへのシンボリックリンクを、出力へ差し込めた。影響するのは2.267.0より前のすべてのaws-cdk-libだ。
CDKはPython、TypeScript、C#、Goでインフラを定義し、CLIからCloudFormationへデプロイする。問題はDocker同梱の出力処理にあり、意図しない情報を同梱の成果物へ流し込める。AWSは2.267.0で修正したとし、最新版への更新と、フォークや派生コードへの取り込みを推奨している。対応するGitHubアドバイザリはGHSA-h6j4-qpp7-q28pだ。
すぐ更新できない場合は、同梱に使うDockerコンテナとその依存を監査し、信頼できないコードが同梱環境で動かないようにする。公開情報の前提は、Dockerファイルを使った同梱だ。Dockerを使わないアセットには、この経路はそのまま当てはまらない。Docker bundlingを使うパイプラインでは、ロックファイル上のaws-cdk-libを2.267.0以上へ上げ、合成に使うイメージの出どころを依存関係として扱うのが先になる。