La vulnerabilità di Amazon Q potrebbe consentire ai repository Git dannosi di eseguire codice sui computer degli sviluppatori

Amazon ha corretto una falla di sicurezza nel suo assistente per sviluppatori Q per Visual Studio Code, che avrebbe potuto consentire a un repository Git appositamente creato di eseguire comandi sul sistema di uno sviluppatore ed esporre le credenziali cloud.

Il problema, tracciato come CVE-2026-12957 e valutato 8,5 sulla scala CVSS 4.0, è stato individuato dai ricercatori di Wiz. Hanno scoperto che Amazon Q leggeva automaticamente un file di configurazione MCP archiviato in .amazonq/mcp.json all'interno dell'area di lavoro di un progetto. Quando uno sviluppatore apriva il repository e attivava Amazon Q, l'estensione poteva eseguire i comandi definiti nel file senza richiedere approvazione.

Questo comportamento è rilevante perché il Model Context Protocol, o MCP, è progettato per consentire agli strumenti di intelligenza artificiale di interagire con programmi e servizi locali. In questo caso, qualsiasi processo avviato ereditava l'ambiente attivo dello sviluppatore, che poteva includere chiavi di accesso AWS, token API, socket dell'agent SSH e altro materiale sensibile già caricato nella sessione.

Perché il problema era grave

Secondo Wiz, la falla eliminava un importante passaggio di consenso dell'utente. Un repository dannoso poteva quindi fungere da veicolo per comandi nascosti, richiedendo poco più che convincere uno sviluppatore ad aprire la cartella e attivare l'assistente.

• Il caricamento automatico delle impostazioni MCP dell'area di lavoro aggirava i controlli di attendibilità previsti.
• I comandi venivano eseguiti con accesso all'ambiente locale dello sviluppatore.
• Le informazioni segrete esposte potevano potenzialmente essere utilizzate per raggiungere account cloud e altri sistemi interni.

Per dimostrare il problema, Wiz ha realizzato un repository di prova che utilizzava una configurazione MCP dannosa. Quando veniva aperto con Amazon Q attivato, l'estensione eseguiva un comando utilizzando le credenziali AWS già presenti dello sviluppatore.

Amazon afferma che il problema è stato risolto nella versione 1.65.0 del language server, che alimenta le integrazioni di Amazon Q con gli IDE. I sistemi con gli aggiornamenti automatici attivati dovrebbero ricevere la correzione automaticamente.

Wiz ha dichiarato che la scoperta evidenzia un rischio più ampio per gli strumenti di coding basati sull'intelligenza artificiale che supportano integrazioni a livello di area di lavoro. Man mano che un numero crescente di assistenti adotta MCP e meccanismi simili, gli aggressori potrebbero prendere sempre più di mira i file di progetto nascosti che gli sviluppatori in genere non esaminano attentamente.