CVE-2026-107783 AWS Tools for PowerShell 日志敏感信息泄露漏洞
影响本地用户可从命令输出与日志中还原 IAM 控制台明文密码
AWS Tools for PowerShell 5.0.306 之前版本存在敏感信息写入日志文件的问题。当用户执行涉及 IAM 用户控制台密码的操作时，明文密码可能被记录到命令输出及日志产物中。本地用户可读取这些日志，从而恢复该 IAM 用户的明文控制台密码。
影响范围
AWS Tools for PowerShell 5.0.306 之前的版本。暂无公开信息说明具体受影响的命令或模块范围。
漏洞详情
漏洞类型为敏感信息插入日志文件（CWE-532）。成因是相关 cmdlet 在处理 IAM 用户控制台密码时未对输出与日志内容做脱敏处理，导致明文密码被写入 PowerShell 转录或日志存储。攻击者需具备本地访问权限并能读取相应日志文件，即可从中提取明文密码。
利用条件与风险
利用前提是攻击者已在本地获取日志文件读取权限，且目标操作曾产生含密码的日志。实战中可导致 IAM 控制台账户被接管，但需本地访问条件，整体风险中等。
修复建议
官方修复方案为升级至 5.0.306 或更高版本。升级后应检查历史 PowerShell 转录与日志存储，确认是否曾泄露密码，并轮换所有可能受影响的 IAM 控制台密码。
Insertion of sensitive information into log file in AWS Tools for PowerShell before 5.0.306 might allow local users to recover an IAM user’s cleartext AWS Management Console password from command output and log artifacts.
To remediate this issue, users should upgrade to version 5.0.306 or later. After upgrading, review PowerShell transcripts and log stores for previously disclosed passwords and rotate any affected IAM console passwords.