CVE-2026-119115 - 适用于 Kubernetes 的 AWS 私有 CA 连接器在颁发者解析过程中存在授权错误
公告 ID： 2026-156-AWS
范围：AWS
内容类型：重要提示（需要注意）
发布日期：2026 年 10 月 29 日上午 9:30（太平洋夏令时）
描述：
适用于 Kubernetes 的 AWS 私有 CA 连接器（aws-privateca-issuer）是 cert-manager 的外部颁发者利用 AWS 私有证书颁发机构来签署证书请求。我们知悉了 CVE-2026-119115，即颁发者解析逻辑中授权不正确的问题。在受影响的版本中，在特定条件下，即使某个经过身份验证的用户的审批策略仅授权限定命名空间范围的颁发者，该用户仍可以获得限定集群范围的颁发者签署的证书（该用户未获得使用这些证书的授权），包括从属 CA 证书。
受影响的版本：
- v1.10.1 之前的 aws-privateca-issuer；
- v1.10.1-eksbuild.1 之前的适用于 Kubernetes 的 AWS 私有 CA 连接器 EKS 插件
解决方案：
此问题已在 aws-privateca-issuer 版本 v1.10.1 以及适用于 Kubernetes 的 AWS 私有 CA 连接器 EKS 插件版本 v1.10.1-eksbuild.1 中得到解决。建议您升级到最新版本，并确保对所有分支代码或衍生代码进行修补，以纳入新的修复程序。
升级前需要执行的操作：v1.10.1 强制要求 issuerRef.kind 必须精确匹配 AWSPCAIssuer 或 AWSPCAClusterIssuer，且必须与所引用的颁发者类型一致。此前依赖于旧版宽松解析逻辑的证书请求，在升级后将无法继续自动续期；当这些证书到期时，依赖它们的各项服务将会受到影响。如果 issuerRef.kind 缺失或不正确，包括：Issuer 类型（cert-manager 为未明确指定颁发者类型的 Ingress 注解设置的类型），相关资源现在会被标记为 Failed（失败）状态；类型为：AWSPCAIssuer 且引用限定集群范围颁发者的请求现在将无限期保持在 Pending（待处理）状态。在升级之前，请审查您的 CertificateRequest、Certificate 和 Ingress 资源，并明确设置 issuerRef.kind 以匹配所引用的颁发者（限定命名空间范围的颁发者使用 AWSPCAIssuer，限定集群范围的颁发者使用 AWSPCAClusterIssuer）。
临时措施：
如果您无法立即升级，请将您的证书审批策略和 RBAC 规则的范围限定为颁发者名称和颁发者类型。
参考：
如有任何安全问题或疑虑，请发送电子邮件至aws-security@amazon.com 。