Bulletin-ID: 2026-156-AWS
Geltungsbereich: AWS
Inhaltstyp: Wichtig (erfordert Aufmerksamkeit)
Veröffentlichungsdatum: 29.10.2026 09:30 Uhr PDT

Beschreibung:

AWS Private CA Connector for Kubernetes (aws-privateca-issuer) ist ein externer Aussteller für cert-manager, der Zertifikatsanfragen mithilfe der AWS Private Certificate Authority signiert. Wir sind uns CVE-2026-119115 bewusst, einem Problem mit falscher Autorisierung in der Auflösungslogik des Ausstellers. In betroffenen Versionen kann ein authentifizierter Benutzer, dessen Genehmigungsrichtlinie nur einen Aussteller mit Namespace-Gültigkeitsbereich autorisiert, unter bestimmten Bedingungen Zertifikate, einschließlich untergeordneter CA-Zertifikate, erhalten, die von einem Cluster-Aussteller signiert sind, zu dessen Verwendung er nicht berechtigt ist.

Betroffene Versionen:

• aws-privateca-issuer vor v1.10.1;
• AWS Private CA Connector für Kubernetes-EKS-Add-on vor v1.10.1-eksbuild.1

Lösung:

Dieses Problem wurde in aws-privateca-issuer Version v1.10.1 und der AWS Private CA Connector für Kubernetes EKS-Add-on-Version v1.10.1-eksbuild.1 behoben. Wir empfehlen, ein Upgrade auf die neueste Version vorzunehmen und dafür zu sorgen, dass geforkter oder derivativer Code gepatcht wird, damit die neuen Korrekturen enthalten sind.

Vor dem Upgrade sind Maßnahmen erforderlich: v1.10.1 erzwingt, dass issuerRef.kind genau AWSPCAIssuer oder AWSPCAClusterIssuer ist und der Art des Ausstellers entspricht, auf den es verweist. Zertifikatsanforderungen, die auf der bisherigen großzügigen Auflösung beruhten, werden nach dem Upgrade nicht mehr verlängert, und die davon abhängigen Services sind betroffen, sobald diese Zertifikate ablaufen. Ein fehlendes oder falsches issuerRef.kind – einschließlich kind: Der Aussteller, den cert-manager für Ingress-Annotationen festlegt, die keinen Ausstellertyp angeben, wird jetzt als fehlgeschlagen markiert; eine Anfrage mit kind: AWSPCAIssuer, der auf einen Aussteller im Cluster-Bereich verweist, bleibt jetzt auf unbestimmte Zeit ausstehend. Prüfen Sie vor dem Upgrade Ihre CertificateRequest-, Certificate- und Ingress-Ressourcen und legen Sie issuerRef.kind explizit fest, um dem referenzierten Aussteller zu entsprechen (AWSPCAIssuer für Namespace-Bereich, AWSPCAClusterIssuer für Cluster-Bereich).

Problemumgehungen:

Wenn Sie nicht sofort ein Upgrade durchführen können, beschränken Sie Ihre Richtlinien für die Zertifikatsgenehmigung und die RBAC-Regeln sowohl auf den Namen des Ausstellers als auch auf den Typ des Ausstellers.

Referenzen:

• CVE-2026-119115
• GHSA-hjrh-q6pg-mh829

Bei Fragen oder Bedenken zum Thema Sicherheit wenden Sie sich bitte per E-Mail an aws-security@amazon.com .