CVE-2026-7461 – Iniezione di comandi di sistema operativo nell’agente di Amazon ECS tramite credenziali dei volumi FSx per Windows File Server
ID bollettino: 2026-024-AWS
Ambito: AWS
Tipo di contenuto: importante (richiede attenzione)
Data di pubblicazione: 30/04/2026 11:45 PDT
Descrizione:
Amazon Elastic Container Service (Amazon ECS) è un servizio di orchestrazione di container completamente gestito che consente ai clienti di distribuire, gestire e scalare applicazioni containerizzate. L’agente di Amazon ECS supporta il montaggio di volumi FSx per Windows File Server nelle definizioni dei task su istanze EC2 Windows. È stata identificata la vulnerabilità CVE-2026-7461, un problema di iniezione di comandi nel montaggio di volumi FSx che consente l’esecuzione di codice con privilegi SYSTEM tramite credenziali appositamente manipolate nelle definizioni dei task ECS.
Versioni interessate: dalla 1.47.0 alla 1.102.2 dell’agente ECS per Windows.
Risoluzione:
Il problema riguarda esclusivamente le istanze worker ECS su Windows. ECS su Fargate non è interessato. Il problema è stato risolto nella versione dell’agente ECS 1.103.0. Si raccomanda di aggiornare all’ultima Windows AMI ottimizzata per Amazon ECS con la versione aggiornata dell’agente ECS.
Soluzioni alternative:
Per i clienti che non possono aggiornare immediatamente, si consiglia di: limitare i permessi ecs:RegisterTaskDefinition solo a soggetti IAM affidabili; restringere l’accesso in scrittura ai secret di Secrets Manager utilizzati nelle configurazioni dei volumi FSx.
Riferimenti:
Ringraziamenti:
si ringrazia Sachin Patil per la collaborazione attraverso il processo di divulgazione coordinata delle vulnerabilità.
Per eventuali domande o dubbi sulla sicurezza, invia un’e-mail all’indirizzo aws-security@amazon.com.