Passer au contenu principal

CVE-2026-119117 – Insertion d’informations sensibles dans un fichier journal et une liste d’arguments de processus dans la bibliothèque Amazon Kinesis Producer pour Java

ID du bulletin : 2026-159-AWS
Portée : AWS
Type de contenu : Important (nécessite une attention particulière)
Date de publication : 30/10/2026 23 h 00 (PDT)

Description :

La bibliothèque Kinesis Producer (KPL) est une bibliothèque Java open source permettant d’écrire des données sur Amazon Kinesis Data Streams à haut débit. KPL est une bibliothèque cliente qui s’exécute dans l’application du client, sur le compte AWS du client, à l’aide des informations d’identification du client.

Nous avons publié CVE-2026-119117. L’insertion d’informations sensibles dans un fichier journal de la bibliothèque Amazon Kinesis Producer pour Java avant la version 1.0.8, lorsque l’enregistreur de la bibliothèque est configuré au niveau du journal DEBUG, peut permettre aux utilisateurs locaux d’obtenir les informations d’identification AWS que la bibliothèque a résolues pour l’application. Par ailleurs, les versions concernées de la bibliothèque transmettent ces informations d’identification au processus enfant natif sous forme d’arguments de ligne de commande, où un utilisateur local peut les lire à partir de la liste des arguments du processus.

Pour remédier à ce problème, les utilisateurs doivent effectuer une mise à niveau vers la version 1.0.8 ou ultérieure, faire une rotation des clés utilisateur IAM de longue durée, révoquer les sessions de rôle actives si nécessaire et restreindre ou caviarder les données de journal écrites par la version concernée. Les utilisateurs de la version 0.x doivent migrer vers software.amazon.kinesis:amazon-kinesis-producer 1.0.8 ou version ultérieure.

Versions concernées :

  • com.amazonaws:amazon-kinesis-producer <= 0.15.12
  • oftware.amazon.kinesis:amazon-kinesis-producer < 1.0.8

Résolution :

Ce problème a été résolu dans la version 1.0.8 de la bibliothèque Amazon Kinesis Producer pour Java (KPL). Les utilisateurs des versions 0.x et 1.x doivent passer à la version 1.0.8 ou ultérieure.

Solutions de contournement :

La mise à niveau vers la version 1.0.8 ou ultérieure est la seule solution complète. Les clients qui ne peuvent pas effectuer la mise à niveau immédiatement peuvent réduire les risques de la manière suivante :

Pour empêcher l’écriture des informations d’identification dans le journal, assurez-vous que l’enregistreur démon n’est pas configuré au niveau de journalisation DEBUG ou à un niveau inférieur. Réglez-le explicitement sur INFO ou un niveau supérieur dans la configuration de journalisation, software.amazon.kinesis.producer.Daemon pour 1.x et com.amazonaws.services.kinesis.producer.Daemon pour 0.x, afin qu’il reste au-dessus du niveau de journalisation DEBUG même si l’enregistreur racine est défini sur DEBUG. Le paramètre LogLevel propre à KPL n’affecte pas l’enregistreur démon. En tant que deuxième couche, ajoutez un filtre au pipeline de journaux qui supprime ou caviarde les messages commençant par "Starting Native Process" ; les scanners de secrets ne détecteront probablement pas ces valeurs car elles sont encodées en hexadécimal.

Aucune configuration ne supprime les informations d’identification de la liste d’arguments du processus natif dans les versions concernées. Pour limiter le nombre de personnes pouvant le lire, exécutez le producteur sur des hôtes ou dans des conteneurs sans comptes locaux non fiables.

Effectuez une rotation des clés à longue durée de vie, révoquez les sessions de rôle actives le cas échéant, et caviardez ou supprimez les journaux concernés. Nous vous recommandons d’utiliser des informations d’identification de rôle IAM de courte durée plutôt que des clés d’accès de longue durée, et de limiter le rôle aux autorisations minimales dont le producteur a besoin, telles que kinesis:PutRecords et cloudwatch:PutMetricData sur le flux et l’espace de noms Amazon Resource Names (ARN) spécifiques.

Ces mesures empêchent uniquement la divulgation future des informations d’identification ; les informations d’identification déjà écrites dans les journaux nécessitent toujours les mesures correctives ci-dessus.

Références :

Remerciements :

Nous tenons à remercier Justin Capella de Keeper Security pour sa collaboration sur ce problème, dans le cadre du processus coordonné de divulgation de vulnérabilité.


Veuillez envoyer un e-mail à aws-security@amazon.com si vous avez des questions ou des préoccupations relatives à la sécurité.