Lỗ hổng trong AWS Kiro cho phép trang web độc hại sửa cấu hình và chạy mã trên máy nhà phát triển
"Researchers found that a poisoned web page could inject hidden instructions into AWS Kiro, causing the IDE to rewrite its own MCP configuration file and execute attacker-controlled code on a developer machine. AWS patched the issue by protecting sensitive paths such as mcp.json and requiring explicit approval for writes; no CVE was assigned, and the flaw was confirmed fixed in Kiro v0.11.130 and later 1.0.x releases."
Nguy cơ chính là remote code execution thông qua prompt injection dẫn đến việc Kiro ghi và reload mcp.json rồi chạy lệnh tuỳ ý. Điểm then chốt: mcp.json là đường dẫn cấu hình nhạy cảm; cơ chế duyệt của mô hình không đủ để chặn; bản vá yêu cầu phê duyệt trước khi ghi vào protected paths.
Tác động có thể gây gián đoạn phát triển và rò rỉ tài sản (mã nguồn, thông tin xác thực) nếu kẻ tấn công chiếm được quyền trên máy nhà phát triển. Điểm cần lưu ý: RCE trên endpoint có thể dẫn đến trộm credentials/nguồn mã; việc cập nhật phiên bản giúp giảm rủi ro nhưng cần quản trị vòng đời IDE trong đội phát triển.
Các nhà nghiên cứu từ Intezer (phối hợp với Kodem Security) cho biết một trang web bị “poisoned” có thể chèn chỉ dẫn ẩn để AWS Kiro (IDE mã hoá dạng agent) tự ghi đè tệp cấu hình MCP và thực thi mã do kẻ tấn công kiểm soát trên máy của nhà phát triển. Theo mô tả, cơ chế an toàn của Kiro dựa vào bước con người bấm “allow”, nhưng lỗi cho phép kẻ tấn công vượt qua ranh giới này: việc cảnh báo/duyệt không ngăn được việc cấu hình được nạp lại và lệnh độc hại được chạy.
Điểm yếu nằm ở tệp ~/.kiro/settings/mcp.json, nơi Kiro đọc danh sách các MCP servers và lệnh khởi chạy. Khi tệp thay đổi, Kiro sẽ reload và chạy theo nội dung mới, với quyền của người dùng. Proof-of-concept nhúng payload bằng văn bản 1 pixel trên trang tài liệu; Kiro đọc khối ẩn, ghi server độc hại vào mcp.json, rồi reload.
AWS đã vá bằng cách bảo vệ các đường dẫn nhạy cảm (ví dụ mcp.json) và yêu cầu phê duyệt rõ ràng trước khi ghi. Lỗi được xác nhận đã khắc phục ở Kiro v0.11.130 và các bản 1.0.x. Không có CVE được gán; các bản cũ hơn nên cập nhật lên nhánh 1.0.x (bài viết nêu 1.0.165 là bản mới nhất tại thời điểm 21/07/2026).