Vulnérabilité critique dans Amazon Q Developer
Une faille de haute gravité dans Amazon Q Developer, identifiée comme CVE-2026-12957 avec un score CVSS de 8.5, permet à un dépôt malveillant d'exécuter des commandes et de subtiliser les identifiants cloud d'un développeur. Le vecteur d'attaque est simple : un développeur ouvre le dépôt, fait confiance à l'espace de travail, et Amazon Q exécute le code malveillant sans alerte. Cette vulnérabilité réside dans la gestion des serveurs de Model Context Protocol (MCP) par l'assistant de codage IA d'Amazon.
Impacts et Risques réels
Les conséquences de cette faille sont significatives. Un attaquant peut non seulement exécuter des commandes à distance, mais aussi accéder à des données sensibles, compromettant ainsi la sécurité des projets de développement. Les informations d'identification volées peuvent permettre des accès non autorisés à d'autres ressources cloud, augmentant le risque de violations de données à grande échelle.
Recommandations de sécurité
- Réaliser un audit de sécurité informatique de l'infrastructure.
- Déployer des solutions de protection robustes et activer l'authentification multi-facteurs (MFA).
- Déléguer la maintenance à un prestataire spécialisé en infogérance.
Source de l'article : https://thehackernews.com/2026/06/amazon-q-developer-flaw-could-let.html