CVE-2025-3048
Path Traversal in AWS SAM CLI ermöglicht das Kopieren von Dateien in den lokalen Cache
- Veröffentlicht
- 31.03.2025
- Aktualisiert
- 14.10.2025
- CNA zuweisen
- AMZN
- Beweise beobachtet
- 08.08.2026
Primäres CVSS
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XNiedrig · nächste 30 Tage
- Perzentil
- 50,4 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
Nach Abschluss eines Builds mit der AWS Serverless Application Model Command Line Interface (SAM CLI), die Symlinks enthält, wird der Inhalt dieser Symlinks als reguläre Dateien oder Verzeichnisse in den Cache des lokalen Workspace kopiert. Infolgedessen hätte ein Benutzer, der außerhalb des Docker-Containers keinen Zugriff auf diese Symlinks hat, nun über den lokalen Workspace Zugriff. Benutzer sollten auf Version 1.134.0 aktualisieren und sicherstellen, dass alle Forks oder abgeleiteten Code-Versionen gepatcht sind, um die neuen Korrekturen zu integrieren. Nach dem Upgrade müssen Benutzer ihre Anwendungen mit `sam build --use-container` neu erstellen, um die Symlinks zu aktualisieren.
Quellen
- AWS-SAM-CLI-VulnerabilitiesForschung
Problem mit AWS SAM CLI (CVE-2025-3047, CVE-2025-3048)
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.