Amazon Q Developer: Manipulierte Repos konnten AWS-Cloud-Zugangsdaten abgreifen
Wiz Research hat eine Schwachstelle in Amazons KI-Coding-Assistent Q Developer offengelegt, die es Angreifern ermöglichte, über manipulierte Git-Repositories Befehle auszuführen und AWS-Zugangsdaten zu stehlen. AWS hat den Fix veröffentlicht.
Forscher von Wiz Research haben eine Schwachstelle in Amazons KI-Coding-Assistent Q Developer offengelegt, die es Angreifern ermöglichte, über manipulierte Git-Repositories AWS-Zugangsdaten zu stehlen. AWS hat den Fix unter CVE-2026-12957 veröffentlicht und rät zum sofortigen Update.
Was ist passiert?
Die Schwachstelle mit der Kennung CVE-2026-12957 (CVSS 8.5) befindet sich in der Amazon Q Developer Erweiterung für Visual Studio Code. Sie nutzt das Model Context Protocol (MCP), über das KI-Coding-Assistenten auf externe Werkzeuge und Konfigurationen zugreifen. Ein Angreifer konnte eine bösartige MCP-Konfigurationsdatei in einem öffentlichen Git-Repository platzieren. Sobald ein Entwickler das Repository mit Amazon Q Developer öffnete, wurde die Konfiguration automatisch geladen und ermöglichte die Ausführung beliebiger Befehle auf dem Entwickler-Rechner. Damit ließen sich AWS-Zugangsdaten und andere Secrets abgreifen.
Wer ist betroffen?
Betroffen sind alle Nutzer der Amazon Q Developer Erweiterung für VS Code mit Versionen der Language Servers for AWS vor 1.65.0. Ein zweiter Fehler CVE-2026-12958, eine fehlende Symlink-Prüfung, wurde in Version 1.69.0 behoben. AWS empfiehlt explizit das Update auf 1.69.0, um beide Schwachstellen zu schließen. Entwickler und Teams, die Amazon Q als KI-Coding-Assistent einsetzen, sind direkt betroffen.
Wie kritisch ist das?
Die Schwachstelle ist mit CVSS 8.5 als High eingestuft. Der Angriff erfordert lediglich, dass ein Entwickler ein bösartiges Repository öffnet. Kein Klick, keine Bestätigung nötig. Die automatische Übernahme der MCP-Konfiguration macht den Angriff besonders tückisch. Mit gestohlenen AWS-Credentials können Angreifer auf S3-Buckets, Datenbanken, IAM-Rollen und weitere Cloud-Ressourcen zugreifen. AWS gibt an, dass bislang keine aktive Ausnutzung im Feld bekannt ist.
Was sollten Admins jetzt tun?
- Language Servers for AWS auf Version 1.69.0 aktualisieren
- VS Code Erweiterungen zentral verwalten und automatische Updates erzwingen
- Entwickler schulen, unbekannte Repositories nicht direkt mit KI-Assistenten zu öffnen
- AWS-Credentials regelmäßig rotieren und IAM-Rollen mit minimalen Berechtigungen verwenden
- MCP-Konfigurationen in Repositories prüfen und automatische MCP-Load-Funktion bei Bedarf deaktivieren
Einordnung für Unternehmen
Für Unternehmen, die KI-Coding-Assistenten einsetzen, zeigt dieser Fall ein neues Angriffsmuster: Die Werkzeuge selbst werden zum Ziel. Bisher lag der Fokus auf Phishing und Malware in Build-Pipelines. Nun genügt ein manipuliertes Repository, um über den KI-Assistenten Zugang zum Entwickler-Rechner und zu Cloud-Infrastruktur zu erhalten. Entwicklungsabteilungen sollten ihre Toolchain prüfen und sicherstellen, dass KI-Erweiterungen keine automatischen Aktionen ohne Nutzerbestätigung ausführen.
Passende Anleitungen auf S-EDV
- JetBrains Marketplace: 15 schädliche Plug-ins stehlen API-Keys für OpenAI, DeepSeek und SiliconFlow – Ein weiterer Fall, bei dem Entwickler-Werkzeuge als Einfallstor für Credential-Diebstahl missbraucht wurden.
- 24 Milliarden Zugangsdaten offen im Netz: Was Admins jetzt prüfen sollten – Was Unternehmen tun können, wenn Entwickler-Credentials in falsche Hände geraten.
