Se detectó una falla grave en el asistente de IA Amazon Q para VS Code que permitía ejecutar código malicioso al abrir ciertos repositorios de Git. El error residía en la carga automática de configuraciones MCP sin consentimiento, exponiendo credenciales de AWS y claves API. Amazon ya solucionó el problema en la versión 1.65.0 de su servidor de lenguaje.



Una falla de gravedad alta en el asistente de codificación de IA de Amazon para Visual Studio Code significaba que abrir el repositorio Git incorrecto podría permitir que un atacante ejecute código en la máquina de un desarrollador y, potencialmente, le entregue las claves del entorno en la nube del desarrollador.

El error, rastreado como CVE-2026-12957 y asignado a una puntuación CVSS 4.0 de 8.5, se centra en cómo Amazon Q gestionaba las configuraciones del servidor Model Context Protocol (MCP). Wiz descubrió que la extensión cargaba automáticamente el archivo .amazonq/mcp.json de un repositorio y ejecutaba los comandos que contenía cuando un desarrollador abría el proyecto y activaba Amazon Q.

"El modelo de seguridad asume que el usuario configura explícitamente estos servidores. Después de todo, le estás otorgando a un asistente de IA permiso para ejecutar comandos arbitrarios en tu máquina. Esto debería requerir un consentimiento informado", escriben los investigadores. "La vulnerabilidad surgió cuando se violó esta suposición: Amazon Q cargaba automáticamente las configuraciones MCP desde .amazonq/mcp.json dentro del espacio de trabajo, sin aviso, sin consentimiento y sin comprobación de confianza del espacio de trabajo".

MCP permite que los asistentes de IA inicien procesos locales para llevar a cabo tareas. En el caso de Amazon Q, esos procesos heredaban el entorno del desarrollador, dándoles acceso a credenciales de AWS, claves API, tokens de autenticación, sockets del agente SSH y otros secretos ya cargados en la sesión.

"La combinación significaba que un solo archivo de configuración malicioso podía ejecutar comandos arbitrarios con acceso total a las credenciales del desarrollador, sin que se requiriera interacción del usuario más allá de abrir la carpeta y activar Amazon Q", afirmó Wiz.

Para demostrar que el ataque funcionaba, Wiz creó un repositorio con una configuración MCP maliciosa. Abrir el proyecto y activar Amazon Q provocó que la extensión ejecutara un comando contra AWS utilizando las credenciales existentes del desarrollador.

Amazon solucionó el error en la versión 1.65.0 de su servidor de lenguaje, que impulsa las integraciones de IDE de Amazon Q. Las instalaciones existentes deberían recibir el componente parcheado automáticamente, a menos que se hayan bloqueado las actualizaciones automáticas.

"Nos gustaría agradecer a Wiz por colaborar con nosotros en este problema. Hemos remediado este problema en la versión 1.65.0 del servidor de lenguaje", dijo Amazon en un aviso de seguridad.

Wiz argumenta que el error es menos un problema de Amazon que de la industria. Cada vez más asistentes de codificación de IA están adoptando MCP para conectar modelos con herramientas y servicios locales, permitiéndoles ejecutar comandos en las máquinas de los desarrolladores.

Según los investigadores, recientemente han aparecido fallos similares de configuración del espacio de trabajo en otras herramientas de codificación de IA. Esto sugiere que los atacantes han encontrado un nuevo lugar donde acechar: los archivos ocultos en los que los desarrolladores rara vez piensan dos veces antes de confiar.

Fuente:
TheRegister