AWS CDK aws-cdk-lib CVE-2026-107608, 자산 번들링 출력의 심볼릭 링크 처리 취약점 대응
AWS는 aws-cdk-lib에서 자산 번들링을 Docker file로 수행할 때 출력 처리 과정의 링크 해석 문제로 인해, 입력으로 제공되지 않은 심볼릭 링크 파일이나 디렉터리가 번들 결과물에 들어갈 수 있었던 보안 이슈를 발표했다. 수정 버전은 2.267.0이며, 2.267.0 미만 버전이 영향을 받는다.
문제 핵심: 번들 출력물에 예상 밖 심볼릭 링크가 포함될 수 있었던 구조
이번 이슈는 AWS CDK의 자산 번들링을 Docker file 기반으로 실행할 때 발생한다. 핵심은 번들링 입력으로 넘기지 않은 파일 또는 디렉터리에 대한 심볼릭 링크가 결과물에 포함될 수 있었다는 점이다.
즉, 빌드 산출물의 내용이 입력 기준과 정확히 일치한다고 가정하는 자동 배포 흐름에서는, 번들 결과 검증이 느슨할 경우 예기치 않은 파일 참조가 배포 단계로 이어질 여지가 있었다.
영향받는 버전과 즉시 확인할 항목
AWS가 밝힌 영향 범위는 aws-cdk-lib 2.267.0 미만 전체 버전이다. 이미 수정된 2.267.0 이상을 사용 중인지 확인하는 것이 1차 대응이다.
운영 측면에서는 애플리케이션 저장소의 의존성 파일뿐 아니라 CI/CD 러너, 내부 패키지 미러, 공통 템플릿, 프로젝트 생성용 베이스 저장소에 구버전 aws-cdk-lib가 고정되어 있는지 함께 점검하는 것이 중요하다.
클라우드 배포 파이프라인에서의 점검 포인트
AWS CDK를 이용해 인프라 변경을 자동 반영하는 환경이라면, Docker file 기반 asset bundling을 사용하는 스택이 있는지 먼저 식별할 필요가 있다. 특히 서버 배포 아티팩트, Lambda 패키지, 정적 파일 번들처럼 산출물이 그대로 배포에 연결되는 작업은 우선순위를 높여 점검할 만하다.
국내 및 일본 리전 운영 여부와 무관하게, 문제의 성격은 리전 자체보다 빌드 파이프라인의 재현성과 산출물 무결성에 가깝다. 따라서 코로케이션이나 서버호스팅 환경에서 자체 CI를 운영하더라도, AWS CDK를 빌드 체인에 포함했다면 동일한 방식으로 영향 여부를 볼 수 있다.
운영자가 따라가기 쉬운 대응 체크리스트
1) 현재 사용 중인 aws-cdk-lib 버전을 확인한다. 2) 2.267.0 미만이면 2.267.0 이상으로 업데이트한다. 3) Docker file 기반 asset bundling 사용 여부를 확인한다. 4) 내부 표준 이미지와 프로젝트 템플릿에 구버전 의존성이 남아 있는지 점검한다. 5) 최근 생성된 번들 산출물에 불필요한 심볼릭 링크 항목이 포함되지 않았는지 확인한다.
이번 공지는 서비스 장애나 실제 악용 사례를 설명한 문서는 아니다. 따라서 운영자는 공개된 사실 범위 안에서 버전 정리와 산출물 검증 절차 보강에 집중하는 편이 적절하다.
핵심 포인트
- 취약점 식별자: CVE-2026-107608
- 영향 제품: aws-cdk-lib
- 영향 범위: 2.267.0 미만 전체 버전
- 수정 버전: 2.267.0
- 문제 조건: Docker file로 asset bundling 수행 시 발생 가능