Lỗ hổng nghiêm trọng trong Amazon Q Developer cho phép thực thi mã độc qua cấu hình MCP

Các nhà nghiên cứu từ Wiz Research vừa công bố phát hiện về một lỗ hổng bảo mật có mức độ nghiêm trọng cao trong Amazon Q Developer, công cụ hỗ trợ lập trình bằng AI của Amazon. Lỗ hổng này, được định danh là CVE-2026-12957 với điểm CVSS 8.5, cho phép kẻ tấn công thực thi các lệnh tùy ý và đánh cắp thông tin xác thực (credentials) đám mây của lập trình viên thông qua các tệp cấu hình Model Context Protocol (MCP).

Cơ chế tấn công

Vấn đề nằm ở cách Amazon Q xử lý tệp cấu hình .amazonq/mcp.json trong không gian làm việc (workspace). Khi một lập trình viên mở kho lưu trữ (repository) chứa tệp này, Amazon Q sẽ tự động khởi chạy các máy chủ MCP được định nghĩa bên trong. Các máy chủ này thực chất là các tiến trình cục bộ có khả năng truy cập vào cơ sở dữ liệu, API hoặc công cụ xây dựng.

Nguy hiểm ở chỗ, các tiến trình này kế thừa toàn bộ môi trường của lập trình viên, bao gồm các khóa AWS, token CLI, bí mật API và socket SSH agent. Kẻ tấn công có thể lợi dụng điều này để thực thi mã độc, chiếm đoạt phiên làm việc AWS hiện tại mà không cần bất kỳ bước xác thực bổ sung nào.

Phạm vi ảnh hưởng và bản vá

Lỗ hổng này ảnh hưởng đến Language Servers for AWS, thành phần cốt lõi vận hành Amazon Q trên các IDE phổ biến như VS Code, JetBrains, Eclipse và Visual Studio.

Amazon đã phát hành bản vá cho lỗ hổng này. Người dùng được khuyến nghị cập nhật lên phiên bản 1.69.0 của Language Servers for AWS. Ngoài ra, bản cập nhật này cũng khắc phục thêm một lỗ hổng khác (CVE-2026-12958) liên quan đến việc kiểm tra symlink, giúp ngăn chặn hành vi ghi tệp tùy ý ngoài phạm vi cho phép.

Các phiên bản tối thiểu cần cập nhật:

• VS Code: 2.20 trở lên
• JetBrains: 4.3 trở lên
• Eclipse: 2.7.4 trở lên
• Visual Studio toolkit: 1.94.0.0 trở lên

Cảnh báo về xu hướng bảo mật AI

Đây không phải là trường hợp cá biệt. Trước đó, các công cụ hỗ trợ lập trình bằng AI khác như Claude Code, Cursor và Windsurf cũng từng gặp các vấn đề tương tự liên quan đến việc tin tưởng mù quáng vào các tệp cấu hình dự án. Các chuyên gia khuyến cáo rằng việc cho phép một thư mục dự án cấu hình các tác nhân AI (AI agents) mà không có bước xác nhận rõ ràng từ người dùng chính là một bề mặt tấn công (attack surface) tiềm ẩn mà các tổ chức cần đặc biệt lưu ý.

Nguồn tham khảo: The Hacker News