Descripción
Se descubrió un problema en localstack 4.9.2 que permite a los atacantes ejecutar código arbitrario mediante contenido especialmente manipulado alojado en una URL accesible desde la web; cuando dicha URL se pasa en templateURL al endpoint _localstack/cloudformation/deploy, el contenido alojado puede ejecutarse en el contexto del contenedor docker.
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Referencias
- Referencia en localstack.comlocalstack.com
- Referencia en github.comgithub.com/localstack/localstack/blob/aba1ee84592d76f0a88dd286fcd83b6…
- Referencia en github.comgithub.com/localstack/localstack/pull/13293/
- Referencia en cyberroute.github.iocyberroute.github.io/post/2025-12-11-localstack-hack/
Ver el texto original en inglés (CVE.org)
An issue was discovered in localstack 4.9.2 allowing attackers to execute arbitrary code via crafted content hosted on a web-accessable URL and when passed said URL in the the templateURL to the _localstack/cloudformation/deploy endpoint, the hosted content can get executed in the context of the docker container.