ID del boletín: 2026-156-AWS
Alcance: AWS
Tipo de contenido: Importante (requiere atención)
Fecha de publicación: 29/10/2026 09:30 h PDT

Descripción:

AWS Private CA Connector for Kubernetes (aws-privateca-issuer) es un emisor externo para cert-manager que firma las solicitudes de certificados mediante la autoridad de certificación privada de AWS. Somos conscientes de la vulnerabilidad CVE-2026-119115, un problema de autorización incorrecta en la lógica de resolución del emisor. En las versiones afectadas, bajo ciertas condiciones, un usuario autenticado cuya política de aprobación solo autorice a un emisor con ámbito de espacio de nombres podría obtener certificados, incluidos los certificados de CA subordinados, firmados por un emisor con ámbito de clúster que no estuviera autorizado a usar.

Versiones afectadas:

• aws-privateca-issuer anterior a la versión v1.10.1;
• Complemento de EKS AWS Private CA Connector for Kubernetes anterior a la versión v1.10.1-eksbuild.1

Resolución:

Este problema se ha solucionado en la versión v1.10.1 de aws-privateca-issuer y la versión v1.10.1-eksbuild.1 del complemento de EKS AWS Private CA Connector for Kubernetes. Recomendamos actualizar a la versión más reciente y asegurarse de que cualquier código bifurcado o derivado se haya parcheado para incorporar las nuevas correcciones.

Se requiere una acción antes de la actualización: la versión v1.10.1 exige que issuerRef.kind sea exactamente AWSPCAIssuer o AWSPCAClusterIssuer y coincida con el tipo de emisor al que hace referencia. Las solicitudes de certificados que dependían de la resolución anterior menos estricta dejarán de renovarse tras la actualización, y los servicios que dependan de ellas se verán afectados cuando caduquen esos certificados. Un valor issuerRef.kind faltante o incorrecto, incluido el tipo: Issuer, que cert-manager establece para las anotaciones de Ingress que no especifican un tipo de emisor, ahora se marca como Error; una solicitud con el tipo: AWSPCAIssuer que hace referencia a un emisor con ámbito de clúster ahora permanece Pendiente indefinidamente. Antes de actualizar, audite sus recursos CertificateRequest, Certificate e Ingress y configure issuerRef.kind de forma explícita para que coincida con el emisor al que se hace referencia (AWSPCAIssuer para el ámbito del espacio de nombres, AWSPCAClusterIssuer para el ámbito del clúster).

Soluciones alternativas:

Si no puede realizar la actualización inmediatamente, defina las políticas de aprobación de certificados y las reglas de RBAC según el nombre y el tipo del emisor.

Referencias:

• CVE-2026-119115
• GHSA-hjrh-q6pg-mh829

Envíe un correo electrónico a aws-security@amazon.com si tiene alguna pregunta o inquietud sobre seguridad.