Überspringen zum Hauptinhalt

CVE-2026-119117 – Einfügen vertraulicher Informationen in eine Protokolldatei und eine Liste mit Prozessargumenten in der Amazon Kinesis Producer Library für Java

Bulletin-ID: 2026-159-AWS
Geltungsbereich: AWS
Inhaltstyp: Wichtig (erfordert Aufmerksamkeit)
Veröffentlichungsdatum: 30.10.2026, 23:00 Uhr PDT

Beschreibung:

Die Kinesis Producer Library (KPL) ist eine Open-Source-Java-Bibliothek zum Schreiben von Daten in Amazon Kinesis Data Streams mit hohem Durchsatz. KPL ist eine Client-Bibliothek, die innerhalb der Kundenanwendung im AWS-Konto des Kunden unter Verwendung der Anmeldeinformationen des Kunden ausgeführt wird.

Wir haben CVE-2026-119117 veröffentlicht. Das Einfügen vertraulicher Informationen in eine Protokolldatei in der Amazon Kinesis Producer Library for Java vor 1.0.8, wenn der Logger der Bibliothek auf DEBUG-Protokollebene konfiguriert ist, kann es lokalen Benutzern ermöglichen, die AWS-Anmeldeinformationen abzurufen, die die Bibliothek für die Anwendung aufgelöst hat. Unabhängig davon geben die betroffenen Versionen der Bibliothek diese Anmeldeinformationen als Befehlszeilenargumente an den systemeigenen untergeordneten Prozess weiter, sodass ein lokaler Benutzer sie aus der Liste der Prozessargumente lesen kann.

Um dieses Problem zu beheben, sollten Benutzer auf Version 1.0.8 oder höher aktualisieren, alle langfristigen IAM-Benutzerschlüssel rotieren, aktive Rollensitzungen bei Bedarf widerrufen und die von einer betroffenen Version geschriebenen Protokolldaten einschränken oder redigieren. 0.x-Benutzer sollten zu software.amazon.kinesis:amazon-kinesis-producer 1.0.8 oder höher migrieren.

Betroffene Versionen:

  • com.amazonaws:amazon-kinesis-producer <= 0.15.12
  • oftware.amazon.kinesis:amazon-kinesis-producer < 1.0.8

Lösung:

Dieses Problem wurde in Amazon Kinesis Producer Library für Java (KPL), Version 1.0.8 behoben. Benutzer der Versionen 0.x und 1.x sollten auf 1.0.8 oder höher aktualisieren.

Problemumgehungen:

Ein Upgrade auf 1.0.8 oder höher ist die einzige vollständige Lösung. Kunden, die nicht sofort ein Upgrade durchführen können, können das Risiko wie folgt reduzieren:

Um zu verhindern, dass Anmeldeinformationen in das Protokoll geschrieben werden, stellen Sie sicher, dass der Daemon-Logger nicht auf DEBUG-Protokollebene oder darunter konfiguriert ist. Stellen Sie ihn in der Protokollierungskonfiguration explizit auf INFO oder höher ein, also software.amazon.kinesis.producer.Daemon für 1.x und com.amazonaws.services.kinesis.producer.Daemon für 0.x, sodass er über der DEBUG-Protokollebene bleibt, auch wenn der Root-Logger auf DEBUG gesetzt ist. Die eigene LogLevel-Einstellung von KPL wirkt sich nicht auf den Daemon-Logger aus. Fügen Sie als zweite Ebene einen Filter zur Log-Pipeline hinzu, der Nachrichten, die mit „Starting Native Process“ beginnen, löscht oder redigiert. Secret-Scanner werden diese Werte wahrscheinlich nicht erkennen, da sie hexadezimal kodiert sind.

Keine Konfiguration entfernt in den betroffenen Versionen die Anmeldeinformationen aus der Argumentliste des systemeigenen Prozesses. Um einzuschränken, wer sie lesen kann, führen Sie den Producer auf Hosts oder in Containern ohne nicht vertrauenswürdige lokale Konten aus.

Lassen Sie langlebige Schlüssel rotieren, aktive Rollensitzungen widerrufen, falls erforderlich, und redigieren oder entfernen Sie die betroffenen Protokolle. Wir empfehlen, kurzlebige IAM-Rollenanmeldedaten statt langlebiger Zugriffsschlüssel zu verwenden und die Rolle auf die minimalen Berechtigungen zu beschränken, die der Producer benötigt, z. B. kinesis:PutRecords und cloudwatch:PutMetricData für den jeweiligen Stream und Namespace Amazon Resource Names (ARNs).

Diese Maßnahmen verhindern lediglich die zukünftige Offenlegung von Anmeldeinformationen. Bei Anmeldeinformationen, die bereits in die Protokolle geschrieben wurden, müssen dennoch die oben genannten Korrekturen vorgenommen werden.

Referenzen:

Bestätigung:

Wir möchten Justin Capella von Keeper Security für die Zusammenarbeit bei dem Problem im Rahmen des koordinierten Offenlegungsprozesses danken.


Bei Fragen oder Bedenken zum Thema Sicherheit wenden Sie sich bitte per E-Mail an aws-security@amazon.com .