{"id":1314,"date":"2026-06-26T14:43:43","date_gmt":"2026-06-26T14:43:43","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/26\/una-falla-del-desarrollador-de-amazon-q-podria-permitir-que-los-repositorios-maliciosos-ejecuten-codigo-a-traves-de-configuraciones-de-mcp\/"},"modified":"2026-06-26T14:43:43","modified_gmt":"2026-06-26T14:43:43","slug":"una-falla-del-desarrollador-de-amazon-q-podria-permitir-que-los-repositorios-maliciosos-ejecuten-codigo-a-traves-de-configuraciones-de-mcp","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/26\/una-falla-del-desarrollador-de-amazon-q-podria-permitir-que-los-repositorios-maliciosos-ejecuten-codigo-a-traves-de-configuraciones-de-mcp\/","title":{"rendered":"Una falla del desarrollador de Amazon Q podr\u00eda permitir que los repositorios maliciosos ejecuten c\u00f3digo a trav\u00e9s de configuraciones de MCP"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Una falla de alta gravedad en Amazon Q Developer permiti\u00f3 que un repositorio malicioso ejecutara comandos y robara las credenciales de la nube de un desarrollador. El camino fue corto: un desarrollador abre el repositorio, conf\u00eda en el espacio de trabajo y Amazon Q hace el resto. Amazon lo ha parcheado.<\/p>\n<p>Seguimiento como <a href=\"https:\/\/www.cve.org\/cverecord?id=CVE-2026-12957\">CVE-2026-12957<\/a> (CVSS 8.5), el error radicaba en c\u00f3mo el asistente de codificaci\u00f3n de IA de Amazon manejaba los servidores del Protocolo de contexto modelo (MCP).<\/p>\n<p>Wiz Research, que lo encontr\u00f3 e inform\u00f3, demostr\u00f3 que un solo archivo de configuraci\u00f3n colocado en un repositorio era suficiente para pasar del clon de git al compromiso de la nube.<\/p>\n<h2>C\u00f3mo funcion\u00f3 el ataque<\/h2>\n<p>Amazon Q ley\u00f3 un archivo de configuraci\u00f3n de MCP, .amazonq\/mcp.json, desde el espacio de trabajo abierto e inici\u00f3 los servidores que defini\u00f3. Los servidores MCP son procesos locales que un asistente de IA puede generar para acceder a bases de datos, API o herramientas de creaci\u00f3n, por lo que iniciar uno significa ejecutar comandos en la m\u00e1quina.<\/p>\n<p>Esos procesos heredaron el entorno completo del desarrollador. Por lo general, eso significa claves de AWS, tokens CLI de la nube, secretos de API y sockets de agente SSH.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-cant-stop-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjPEV6-530TOlxG6PjrmdlY623wpBwduZ7t1HV6flcmO5R4q4AmfixDUzW0CrhlvMVNWbhvOIso-UDNTka4W_W9Chrdj_dglwBZwi7DuePM2IMIl-hfUYVIqBXgfpr_2619K8Gptb4LzwJ6gUbi7lWl2M8AFQJsHEaw63Q7tZ6708YGruiHrr0Y2W9YYxLQ\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Junte los dos y un archivo ubicado en un repositorio clonado podr\u00eda ejecutar c\u00f3digo arbitrario con la sesi\u00f3n en vivo en la nube del desarrollador adjunta. Sin contrase\u00f1a, sin segundo inicio de sesi\u00f3n.<\/p>\n<p>en su <a href=\"https:\/\/www.wiz.io\/blog\/amazon-q-vulnerability\">prueba de concepto<\/a>Wiz hizo que el archivo ejecutara aws sts get-caller-identity y enviara el resultado a un servidor atacante, capturando la sesi\u00f3n activa de AWS. Lo que viene a continuaci\u00f3n depende de los permisos en la nube de ese desarrollador: hacer una puerta trasera a un usuario de IAM para lograr persistencia, acceder a servicios internos o girar hacia la producci\u00f3n.<\/p>\n<p>AWS y Wiz enmarcan el paso de consentimiento de manera diferente. Amazonas <a href=\"https:\/\/github.com\/aws\/language-servers\/security\/advisories\/GHSA-xhcr-j4j9-3gh7\">consultivo<\/a> dice que el usuario debe confiar en el espacio de trabajo cuando se le solicite, y CVSS califica la interacci\u00f3n del usuario como pasiva.<\/p>\n<p>Wiz inform\u00f3 que no hab\u00eda ning\u00fan paso de consentimiento por separado para los servidores MCP antes de la soluci\u00f3n. El parche cierra esa brecha: Amazon Q ahora marca un servidor MCP que no es de confianza y permite al desarrollador rechazar el comando antes de que se ejecute.<\/p>\n<div class=\"separator\" style=\"clear: both;\"><a href=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhBR5pSG5vKSBtSvN42E5EaEPyhpTI9KIv9dfCuKhNCLSr9GHVVx8recSRWP2uHl4UQgQ3kBhV6s4RJXd3aRLTBWT6lKar6YXKB_5EIX9DIIIlEcDqay6cxULYuCER-Frbth-w8OmCHjNs0HAGKxfwhFGtrFDQyMIvt6f5_RbPmTruqO3LYbMvg3bqSntM\/s1700-e365\/poc.jpg\" style=\"display: block;  text-align: center; clear: left; float: left;\"><img decoding=\"async\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhBR5pSG5vKSBtSvN42E5EaEPyhpTI9KIv9dfCuKhNCLSr9GHVVx8recSRWP2uHl4UQgQ3kBhV6s4RJXd3aRLTBWT6lKar6YXKB_5EIX9DIIIlEcDqay6cxULYuCER-Frbth-w8OmCHjNs0HAGKxfwhFGtrFDQyMIvt6f5_RbPmTruqO3LYbMvg3bqSntM\/s1700-e365\/poc.jpg\" alt=\"\" border=\"0\" data-original-height=\"557\" data-original-width=\"807\"\/><\/a><\/div>\n<p>El defecto vive en <a href=\"https:\/\/github.com\/aws\/language-servers\">Servidores de idiomas para AWS<\/a>el tiempo de ejecuci\u00f3n que impulsa Amazon Q en VS Code, JetBrains, Eclipse y Visual Studio. Los cuatro complementos lo incluyen, por lo que los cuatro quedaron expuestos en versiones que inclu\u00edan una copia anterior.<\/p>\n<h2>que hacer<\/h2>\n<p>Actualizar. CVE-2026-12957 est\u00e1 corregido en Language Servers para AWS 1.65.0, pero AWS <a href=\"https:\/\/aws.amazon.com\/security\/security-bulletins\/2026-047-aws\/\">bolet\u00edn<\/a> les dice a los clientes que pasen a 1.69.0.<\/p>\n<p>Esa construcci\u00f3n tambi\u00e9n cierra un segundo problema, <a href=\"https:\/\/www.cve.org\/cverecord?id=CVE-2026-12958\">CVE-2026-12958<\/a>una verificaci\u00f3n de enlace simb\u00f3lico faltante que podr\u00eda permitir escrituras arbitrarias de archivos fuera del l\u00edmite de confianza del espacio de trabajo.<\/p>\n<p>Los m\u00ednimos del complemento parcheado:<\/p>\n<ul>\n<li>C\u00f3digo VS: 2.20 o posterior<\/li>\n<li>JetBrains: 4.3 o posterior<\/li>\n<li>Eclipse: 2.7.4 o posterior<\/li>\n<li>Kit de herramientas de Visual Studio: 1.94.0.0 o posterior<\/li>\n<\/ul>\n<p>El servidor de idiomas se actualiza autom\u00e1ticamente a menos que la red lo bloquee y al recargar el IDE se obtiene la \u00faltima versi\u00f3n.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/vpn-threat-report-m\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhFlTC7RrRZGiFAgASS0noWSL0qsQGFVp8-Hvuw9yp3X3VKRuTcb5SsPX09wJzrdIM6pu1_5lS4EeZp7Sx4iYBpNJkrGnpr08yyaS1HQ5_5TxaCsP6O0OtHNuOkesn6CbNjao1GPulCJk-uljYMSfMZfBYNrngpe669t7jlRn1FqiEnXhsFD1WVkpaYIVgh\/s728-e100\/ai-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>No se conoce ninguna explotaci\u00f3n p\u00fablica; La entrada ADP de CISA para CVE-2026-12957 lo enumera como ninguno. Wiz encontr\u00f3 la falla a trav\u00e9s de una investigaci\u00f3n y la revel\u00f3 en coordinaci\u00f3n con Amazon, inform\u00e1ndola el 20 de abril y viendo una soluci\u00f3n el 12 de mayo, antes del informe p\u00fablico del 26 de junio.<\/p>\n<h2>Un patr\u00f3n, no algo \u00fanico<\/h2>\n<p>Amazon Q no es el primer asistente de codificaci\u00f3n que tropieza con la confianza de MCP. Los errores no son id\u00e9nticos, pero riman: la configuraci\u00f3n del proyecto se convierte en un comportamiento ejecutable y las comprobaciones de confianza en torno a esa transferencia siguen fallando.<\/p>\n<p>Claude Code (CVE-2025-59536) y Cursor (CVE-2025-54136) ten\u00edan una configuraci\u00f3n MCP a nivel de proyecto que conduc\u00eda a la ejecuci\u00f3n del comando. <a href=\"https:\/\/www.ox.security\/blog\/mcp-supply-chain-advisory-rce-vulnerabilities-across-the-ai-ecosystem\/\">windsurf<\/a> (CVE-2026-30615) lleg\u00f3 al mismo final por una ruta diferente, con contenido controlado por el atacante reescribiendo la configuraci\u00f3n de MCP local para registrar un servidor malicioso.<\/p>\n<p>La conveniencia de permitir que una carpeta de proyecto configure un agente de IA tambi\u00e9n es la superficie de ataque. La configuraci\u00f3n transportada por el repositorio es una entrada que no es de confianza. Convertirlo en un proceso en ejecuci\u00f3n deber\u00eda requerir un s\u00ed expl\u00edcito.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Una falla de alta gravedad en Amazon Q Developer permiti\u00f3 que un repositorio malicioso ejecutara comandos y robara las credenciales de la nube de un desarrollador. El camino fue corto: un desarrollador abre el repositorio, conf\u00eda en el espacio de trabajo y Amazon Q hace el resto. Amazon lo ha parcheado. Seguimiento como CVE-2026-12957 (CVSS [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[712,376,2970,70,642,3081,263,52,267,1058,681,1233,55,76,132],"class_list":["post-1314","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-amazon","tag-codigo","tag-configuraciones","tag-del","tag-desarrollador","tag-ejecuten","tag-falla","tag-los","tag-maliciosos","tag-mcp","tag-permitir","tag-podria","tag-repositorios","tag-traves","tag-una"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1314","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1314"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1314\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1314"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1314"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1314"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}