AWS corregge quattro falle tra MCP, Iceberg e sviluppo AI

🛡️ Executive Summary

• AWS Serverless MCP Server: CVE-2026-116635 consente, in determinate condizioni, di leggere file JSON al di fuori della directory autorizzata e di modificarli quando sono abilitati i permessi di scrittura.
• Virtual Engineering Workbench e Apache Iceberg: due vulnerabilità permettono rispettivamente l’esecuzione di codice con i privilegi di una funzione Lambda e l’accesso improprio ai dati attraverso metadati SQL manipolati.
• AI-DLC Workflows: CVE-2026-120497 espone i report HTML a stored XSS. Le quattro vulnerabilità dispongono di correzioni, ma richiedono verifiche sulle versioni effettivamente distribuite.

Amazon Web Services ha pubblicato il 2 novembre 2026 quattro bollettini di sicurezza che interessano componenti open source utilizzati nello sviluppo di applicazioni cloud, nell’orchestrazione degli agenti AI e nella gestione dei dati aziendali. Le vulnerabilità coinvolgono AWS Serverless MCP Server, Virtual Engineering Workbench, AWS SDK for pandas e lo strumento aidlc-traceability degli AI-DLC Workflows, con conseguenze che spaziano dalla lettura arbitraria di file alla possibile esecuzione di codice con privilegi elevati, fino all’accesso improprio alle tabelle di un data lake e all’esecuzione di JavaScript malevolo nel browser. I quattro problemi non risultano collegati e i bollettini non documentano campagne di sfruttamento attivo. Il loro elemento comune è invece la gestione insufficiente degli input provenienti da soggetti meno privilegiati. Quando un agente AI, una funzione Lambda o un processo di elaborazione dati acquisiscono autorizzazioni superiori a quelle dell’utente che fornisce l’input, un difetto apparentemente circoscritto può compromettere risorse molto più ampie.

AWS Serverless MCP Server permette di accedere a file fuori dalla directory autorizzata

La vulnerabilità CVE-2026-116635, descritta nel bollettino AWS 2026-164, interessa AWS Serverless MCP Server, componente open source del progetto awslabs/mcp che consente agli agenti di intelligenza artificiale di utilizzare strumenti dedicati alla progettazione e alla distribuzione di applicazioni serverless. Il problema riguarda la gestione dei percorsi nel componente che verifica lo stato delle distribuzioni. Attraverso un nome di progetto contenente sequenze di directory traversal oppure un percorso assoluto, un attore capace di influenzare l’agente MCP può indurre il server a raggiungere file JSON collocati fuori dalla directory prevista. La conseguenza documentata è la possibile lettura di informazioni non autorizzate e, quando le funzionalità di scrittura sono state abilitate, la creazione o sovrascrittura di file JSON in posizioni differenti da quelle consentite. Non si tratta necessariamente di un attacco direttamente sfruttabile da qualunque utente anonimo: il bollettino individua come condizione la possibilità di influenzare le operazioni dell’agente e il percorso elaborato dal server.

Le versioni interessate sono quelle precedenti alla 0.2.1 del pacchetto awslabs.aws-serverless-mcp-server, che contiene la correzione ufficiale. AWS non indica workaround disponibili, rendendo necessario l’aggiornamento delle installazioni vulnerabili. La criticità assume un significato particolare nel modello MCP, dove un agente può ricevere informazioni da utenti, documenti e strumenti esterni e convertirle in operazioni eseguite da componenti dotati di autorizzazioni locali. Il problema non riguarda quindi il protocollo in astratto, ma la validazione dei parametri e i privilegi effettivamente concessi agli strumenti. È un rischio già emerso nelle precedenti vulnerabilità AWS che hanno coinvolto componenti MCP e funzioni Lambda, dove la capacità di passare un argomento a uno strumento legittimo poteva trasformarsi in un’operazione non prevista dal sistema.

Virtual Engineering Workbench espone i privilegi della funzione Lambda

Il secondo bollettino, AWS 2026-162, riguarda CVE-2026-119085, vulnerabilità presente nel componente di pubblicazione di Virtual Engineering Workbench (VEW). Il progetto consente agli ingegneri di piattaforma di definire ambienti di sviluppo che possono successivamente essere distribuiti dagli utenti attraverso un portale web. Il difetto interessa il motore che elabora i template utilizzati nella pubblicazione delle versioni dei prodotti. Un attaccante remoto già autenticato può inviare un corpo CloudFormation appositamente costruito attraverso l’API di versionamento, inserendo direttive interpretate impropriamente dal template engine. In determinate condizioni questo permette di eseguire codice arbitrario con i privilegi del ruolo IAM assegnato alla funzione Lambda di pubblicazione.

L’impatto dipende dalle autorizzazioni effettive di tale ruolo. AWS precisa che la vulnerabilità può consentire l’accesso a dati e risorse appartenenti anche ad altri progetti tenant. Questo significa che un’operazione apparentemente limitata alla creazione di una nuova versione di ambiente potrebbe oltrepassare i confini di isolamento previsti dalla piattaforma. Il problema coinvolge tutti i commit precedenti a c146486, correzione integrata attraverso la pull request 31 del 4 maggio 2026. AWS raccomanda di ridistribuire l’applicazione utilizzando la versione aggiornata del ramo principale e di integrare la modifica anche nelle eventuali copie derivate del progetto. Non esiste una mitigazione alternativa che elimini completamente il difetto; fino alla ridistribuzione è possibile ridurne l’esposizione limitando gli utenti autorizzati a creare o modificare versioni dei prodotti. La distinzione tra permesso di pubblicazione e privilegio IAM effettivamente esercitato è il cuore del problema: un’autorizzazione applicativa circoscritta non deve trasformarsi nella possibilità di operare sulle risorse dell’intera infrastruttura.

Leggi anche: GitLab e AWS, l’AI diventa un control plane: RCE e credenziali a rischio.

Apache Iceberg e AWS SDK for pandas espongono i dati attraverso i metadati SQL

Un terzo problema interessa il livello analitico delle infrastrutture AWS. Il bollettino 2026-161 identifica CVE-2026-119301 nel componente di scrittura Apache Iceberg utilizzato da AWS SDK for pandas, conosciuto anche come awswrangler. La libreria Python permette di integrare pandas con servizi come Amazon S3, Athena e AWS Glue, semplificando la gestione dei dati e delle tabelle nei data lake. La vulnerabilità deriva dalla neutralizzazione impropria della sintassi di quoting durante la generazione degli identificatori SQL. Un utente autenticato che possiede il permesso di modificare i metadati di una tabella nel Glue Data Catalog può predisporre un nome di colonna manipolato, che viene successivamente utilizzato da un altro processo dotato di privilegi superiori durante un’operazione di scrittura Iceberg.

Secondo AWS, questo comportamento può consentire all’attaccante di leggere dati da tabelle alle quali non avrebbe normalmente accesso, sfruttando le autorizzazioni del soggetto più privilegiato che esegue l’aggiornamento. Non è quindi corretto presentare la vulnerabilità come una lettura indiscriminata e anonima dei database: sono necessari l’accesso ai metadati interessati e l’interazione con un processo che dispone di privilegi più estesi. Le versioni coinvolte di awswrangler vanno dalla 3.5.2 inclusa fino alle release precedenti alla 3.17.1, pubblicata il 3 agosto 2026 con la correzione. AWS non indica workaround completi. Come misura temporanea raccomanda di evitare l’utilizzo di to_iceberg() attraverso identità con privilegi superiori rispetto a quelli degli utenti autorizzati a modificare i metadati, limitando contemporaneamente permessi come glue:UpdateTable sui database condivisi.

Il problema è particolarmente rilevante nelle architetture in cui Apache Iceberg viene utilizzato come formato comune tra più motori di elaborazione. La separazione tra chi gestisce lo schema e chi accede ai dati può apparire sufficiente, ma diventa fragile quando il contenuto dei metadati viene interpretato all’interno di istruzioni SQL prodotte automaticamente. L’evoluzione delle piattaforme analitiche AWS, già descritta nell’approfondimento sulle viste materializzate Iceberg e sull’integrazione con Spark, rende questo confine sempre più importante: la condivisione di cataloghi e tabelle facilita l’interoperabilità, ma richiede un modello rigoroso di autorizzazioni.

AI-DLC Workflows espone i report HTML a stored cross-site scripting

Il quarto advisory, AWS 2026-163, riguarda CVE-2026-120497, vulnerabilità di stored cross-site scripting (XSS) nello strumento aidlc-traceability. Il programma, originariamente distribuito nel repository awslabs/aidlc-workflows, genera report di tracciabilità a partire dagli artefatti prodotti durante il ciclo di sviluppo software assistito dall’intelligenza artificiale. Il difetto interessa la produzione dei report HTML: un soggetto autorizzato a modificare gli artefatti di progetto può inserire contenuti opportunamente costruiti nei titoli o nelle descrizioni, che vengono successivamente incorporati nel documento generato senza un’adeguata neutralizzazione. Quando un altro utente apre il report attraverso il browser, il codice JavaScript incorporato può essere eseguito nel contesto della pagina.

La vulnerabilità non equivale a un’esecuzione automatica di codice sul server AWS e richiede l’apertura del report HTML interessato. Può tuttavia compromettere la sicurezza dell’utente che consulta la documentazione, soprattutto quando il progetto riceve artefatti modificabili da più collaboratori. Sono interessate le versioni del tool dalla 0.1.0 precedenti al commit 96cf0ea del 3 luglio 2026, che introduce la correzione. AWS precisa inoltre che il programma è stato rimosso dal repository originale il 16 luglio 2026 e non viene più mantenuto in quella posizione. Una nuova implementazione orientata agli agenti è disponibile separatamente nel progetto aws-samples/sample-aidlc-traceability. Per gli utilizzatori delle vecchie release, AWS raccomanda di eliminare le copie locali anteriori alla correzione oppure aggiornarle a un commit sicuro. Come mitigazione temporanea è possibile evitare i report HTML provenienti da progetti non attendibili, utilizzare il formato Markdown oppure rigenerare i documenti esclusivamente da artefatti controllati.

Quattro correzioni già disponibili, ma il rischio resta nelle dipendenze dimenticate

Una caratteristica accomuna i quattro bollettini AWS: le vulnerabilità sono state rese pubbliche il 2 novembre, ma diverse correzioni risalgono ai mesi precedenti. Nel caso di Virtual Engineering Workbench il fix era stato integrato a maggio, per AI-DLC il commit correttivo risale a luglio, mentre AWS SDK for pandas dispone della versione sicura dalla prima settimana di agosto. Soltanto per AWS Serverless MCP Server la comunicazione richiede direttamente l’adozione della release 0.2.1 come riferimento correttivo. Questo intervallo evidenzia la differenza tra la disponibilità di una modifica nel codice sorgente e la sua effettiva presenza nelle installazioni operative. Chi utilizza un’immagine container obsoleta, una copia privata del repository o una dipendenza Python bloccata su una vecchia versione potrebbe continuare a eseguire codice vulnerabile anche dopo la pubblicazione delle patch.

Le quattro falle presentano inoltre condizioni di sfruttamento differenti. CVE-2026-119085 richiede un attaccante autenticato capace di inviare versioni manipolate dei prodotti; CVE-2026-119301 presuppone privilegi sui metadati Glue; CVE-2026-120497 necessita di contenuti controllati dall’attaccante e dell’apertura del report HTML; CVE-2026-116635 dipende dalla capacità di influenzare le richieste elaborate dal server MCP. Queste differenze impediscono di assegnare indiscriminatamente lo stesso rischio a tutte le installazioni, ma non modificano la necessità di verificare le dipendenze e ridurre i privilegi dei componenti coinvolti.

Continua a leggere: AWS porta gli agenti AI nel ciclo software: AgentCore, Quick e Codex diventano enterprise.

Dall’agente AI al data lake, il problema è la fiducia concessa agli input

I quattro bollettini AWS documentano una trasformazione importante nella sicurezza delle infrastrutture cloud. Gli input non attendibili non provengono più soltanto dalle richieste HTTP inviate a un’applicazione pubblica, ma possono essere nomi di progetto passati a un agente MCP, template di distribuzione CloudFormation, metadati di una tabella Iceberg oppure descrizioni presenti nei report del ciclo di sviluppo AI. Ogni componente svolge una funzione legittima e spesso opera con autorizzazioni necessarie al proprio lavoro. Il problema emerge quando i dati forniti da un soggetto meno privilegiato vengono interpretati come percorsi, istruzioni o contenuti eseguibili senza mantenere la separazione tra le rispettive autorizzazioni.

Per gli amministratori la risposta comprende l’aggiornamento delle quattro componenti, la verifica delle copie derivate e la revisione dei permessi IAM, delle autorizzazioni Glue e degli accessi concessi agli agenti. Nessuno dei quattro bollettini, nelle informazioni pubblicate da AWS, conferma uno sfruttamento attivo delle rispettive vulnerabilità. Sarebbe quindi improprio trasformare queste segnalazioni in una campagna di attacchi già accertata. Resta però un’indicazione tecnica precisa: la sicurezza dell’intelligenza artificiale e delle applicazioni cloud dipende dall’isolamento dei privilegi tanto quanto dalla correzione del codice, soprattutto quando strumenti automatici possono eseguire operazioni su risorse appartenenti a utenti e progetti differenti.