CVE-2026-119117: inserción de información confidencial en un archivo de registro y en una lista de argumentos de procesos de la biblioteca de productores de Amazon Kinesis para Java
ID de boletín: 2026-159-AWS
Alcance: AWS
Tipo de contenido: Importante (requiere atención)
Fecha de publicación: 30/10/2026 23:00 h PDT
Descripción:
La biblioteca de productores de Kinesis (KPL) es una biblioteca Java de código abierto para escribir datos en Amazon Kinesis Data Streams con un alto rendimiento. La KPL es una biblioteca cliente que se ejecuta dentro de la aplicación del cliente, en su cuenta de AWS y con sus credenciales.
Hemos publicado la vulnerabilidad CVE-2026-119117. La inserción de información confidencial en un archivo de registro de la biblioteca de productores de Amazon Kinesis para Java anterior a la versión 1.0.8, cuando el registrador de la biblioteca estaba configurado en el nivel de registro DEBUG, podría permitir a los usuarios locales obtener las credenciales de AWS que la biblioteca resolvió para la aplicación. Por otra parte, las versiones afectadas de la biblioteca transfieren estas credenciales al proceso secundario nativo como argumentos de línea de comandos, donde un usuario local puede leerlas en la lista de argumentos del proceso.
Para solucionar este problema, los usuarios deben actualizar a la versión 1.0.8 o posterior, rotar las claves de usuario de IAM de larga duración, revocar las sesiones de rol activas cuando sea necesario y restringir o redactar los datos de registro escritos por una versión afectada. Los usuarios de la versión 0.x deben migrar a software.amazon.kinesis:amazon-kinesis-producer 1.0.8 o posterior.
Versiones afectadas:
- com.amazonaws:amazon-kinesis-producer <= 0.15.12
- oftware.amazon.kinesis:amazon-kinesis-producer < 1.0.8
Resolución:
Este problema se ha abordado en la versión 1.0.8 de la biblioteca de productores de Amazon Kinesis para Java (KPL). Los usuarios de las versiones 0.x y 1.x deben actualizar a la versión 1.0.8 o posterior.
Soluciones alternativas:
La actualización a la versión 1.0.8 o posterior es la única solución completa. Los clientes que no puedan actualizar inmediatamente pueden reducir el riesgo de la siguiente manera:
Para evitar que las credenciales se escriban en el registro, asegúrese de que el registrador de Daemon no esté configurado en el nivel de registro DEBUG o inferior. Configúrelo explícitamente en INFO o en un nivel superior en la configuración de registro: software.amazon.kinesis.producer.Daemon para 1.x y com.amazonaws.services.kinesis.producer.Daemon para 0.x, de forma que se mantenga por encima del nivel de registro DEBUG aunque el registrador raíz esté configurado en DEBUG. La configuración de LogLevel propia de KPL no afecta al registrador de Daemon. Como segunda capa, agregue un filtro a la canalización de registros para eliminar u ocultar los mensajes que comiencen por "Starting Native Process"; es probable que los escáneres de secretos no detecten estos valores porque están codificados en hexadecimal.
Ninguna configuración elimina las credenciales de la lista de argumentos del proceso nativo en las versiones afectadas. Para limitar quién puede leerlo, ejecute el productor en hosts o en contenedores sin cuentas locales que no sean de confianza.
Rote las claves de larga duración, revoque las sesiones de rol activas cuando sea necesario y oculte o elimine los registros afectados. Recomendamos utilizar credenciales de rol de IAM de corta duración en lugar de claves de acceso de larga duración y delimitar el rol de acuerdo con los permisos mínimos que el productor necesite, como kinesis:PutRecords y cloudwatch:PutMetricData en la secuencia y el espacio de nombres de Nombres de recurso de Amazon (ARN) específicos.
Estas medidas solo impiden la divulgación futura de credenciales; las credenciales ya escritas en los registros aún necesitan las correcciones anteriores.
Referencias:
Reconocimiento:
Agradecemos a Justin Capella de Keeper Security por colaborar en este asunto a través del proceso de divulgación coordinado.
Envíe un correo electrónico a aws-security@amazon.com si tiene alguna pregunta o inquietud sobre seguridad.