CVE-2026-119115 – Autorisation incorrecte lors de la résolution des émetteurs dans AWS Private CA Connector pour Kubernetes
ID du bulletin : 2026-156-AWS
Portée : AWS
Type de contenu : important (nécessite une attention particulière)
Date de publication : 29/10/2026 09 h 30 PDT (heure du Pacifique)
Description :
AWS Private CA Connector pour Kubernetes (aws-privateca-issuer) est un émetteur externe pour cert-manager qui signe les demandes de certificat à l’aide de l’autorité de certification privée AWS. Nous sommes conscients de CVE-2026-119115, un problème d’autorisation incorrecte dans la logique de résolution de l’émetteur. Dans les versions concernées, sous certaines conditions, un utilisateur authentifié dont la politique d’approbation n’autorise qu’un émetteur limité à un espace de noms pourrait obtenir des certificats, y compris des certificats CA subordonnés, signés par un émetteur limité au cluster qu’il n’est pas autorisé à utiliser.
Versions concernées :
- aws-privateca-issuer avant v1.10.1
- Module complémentaire AWS Private CA Connector pour Kubernetes EKS avant la version v1.10.1-eksbuild.1
Résolution :
Ce problème a été résolu dans la version v1.10.1 d’aws-privateca-issuer et le module complémentaire AWS Private CA Connector pour Kubernetes EKS, version v1.10.1-eksbuild.1. Nous vous recommandons de passer à la dernière version et d’appliquer les nouveaux correctifs à tout code forké ou dérivé.
Action requise avant la mise à niveau : la version v1.10.1 impose que issuerRef.kind soit exactement AWSPCAIssuer ou AWSPCAClusterIssuer et corresponde au type d’émetteur auquel il fait référence. Les demandes de certificats qui reposaient sur la résolution permissive précédente cesseront d’être renouvelées après la mise à niveau, et les services qui en dépendent seront affectés à l’expiration de ces certificats. Tout issuerRef.kind manquant ou incorrect – y compris kind: Issuer, que cert-manager définit pour les annotations Ingress qui ne spécifient pas de type d’émetteur – est désormais marqué Échec ; une demande avec kind: AWSPCAIssuer qui fait référence à un émetteur appartenant à un cluster reste désormais en attente indéfiniment. Avant la mise à niveau, vérifiez vos ressources CertificateRequest, Certificate et Ingress et définissez issuerRef.kind explicitement pour correspondre à l’émetteur référencé (AWSPCAIssuer pour un espace de noms, AWSPCAClusterIssuer pour le cluster).
Solutions de contournement :
Si vous ne pouvez pas effectuer la mise à niveau immédiatement, limitez vos politiques d’approbation des certificats et vos règles RBAC au nom de l’émetteur et au type d’émetteur.
Références :
Veuillez envoyer un e-mail à aws-security@amazon.com si vous avez des questions ou des préoccupations relatives à la sécurité.