Amazon-Q-Schwachstelle könnte bösartige Git-Repositories Code auf Entwicklergeräten ausführen lassen

Amazon hat eine Sicherheitslücke in seinem Q-Entwicklerassistenten für Visual Studio Code geschlossen, durch die ein speziell präpariertes Git-Repository Befehle auf dem System eines Entwicklers ausführen und Cloud-Zugangsdaten offenlegen konnte.

Das als CVE-2026-12957 geführte Problem wurde auf der CVSS-4.0-Skala mit 8,5 bewertet und von Forschern bei Wiz entdeckt. Sie stellten fest, dass Amazon Q automatisch eine MCP-Konfigurationsdatei unter .amazonq/mcp.json innerhalb eines Projektarbeitsbereichs einlas. Wenn ein Entwickler das Repository öffnete und Amazon Q aktivierte, konnte die Erweiterung die in dieser Datei definierten Befehle ausführen, ohne zuvor um Zustimmung zu bitten.

Dieses Verhalten ist problematisch, weil das Model Context Protocol (MCP) dafür ausgelegt ist, KI-Tools die Interaktion mit lokalen Programmen und Diensten zu ermöglichen. In diesem Fall erbte jeder gestartete Prozess die aktive Umgebung des Entwicklers. Diese kann AWS-Zugriffsschlüssel, API-Token, SSH-Agent-Sockets und andere sensible Daten enthalten, die bereits in der Sitzung geladen waren.

Warum das Problem schwerwiegend war

Wiz zufolge entfernte die Schwachstelle einen wichtigen Schritt zur Einholung der Zustimmung des Benutzers. Ein bösartiges Repository konnte daher als Transportmittel für versteckte Befehle dienen. Dazu musste ein Entwickler lediglich den Ordner öffnen und den Assistenten aktivieren.

• Das automatische Laden von MCP-Einstellungen des Arbeitsbereichs umging die erwarteten Vertrauensprüfungen.
• Die Befehle wurden mit Zugriff auf die lokale Umgebung des Entwicklers ausgeführt.
• Offengelegte Geheimnisse konnten möglicherweise dazu verwendet werden, auf Cloud-Konten und andere interne Systeme zuzugreifen.

Um das Problem zu demonstrieren, erstellte Wiz ein Proof-of-Concept-Repository mit einer bösartigen MCP-Konfiguration. Wurde es bei aktiviertem Amazon Q geöffnet, führte die Erweiterung einen Befehl unter Verwendung der bereits vorhandenen AWS-Zugangsdaten des Entwicklers aus.

Amazon zufolge wurde das Problem in der Sprachserver-Version 1.65.0 behoben, die die IDE-Integrationen von Amazon Q unterstützt. Systeme mit aktivierten automatischen Updates sollten die Fehlerbehebung automatisch erhalten.

Wiz erklärte, der Fund verdeutliche ein umfassenderes Risiko bei KI-Programmierwerkzeugen, die Integrationen auf Arbeitsbereichsebene unterstützen. Da immer mehr Assistenten MCP und ähnliche Mechanismen einsetzen, könnten Angreifer zunehmend versteckte Projektdateien ins Visier nehmen, die Entwickler normalerweise nicht eingehend prüfen.