CVE-2026-119115 – AWS Private CA Connector for Kubernetes での発行者解決における不適切な認可
速報 ID: 2026-156-AWS
スコープ: AWS
コンテンツタイプ: 重要 (注意が必要)
公開日: 2026 年 10 月 29 日午前 9 時 30 分 (太平洋夏時間)
説明:
AWS Private CA Connector for Kubernetes (aws-privateca-issuer) は、AWS Private Certificate Authority を使用して証明書リクエストに署名する cert-manager の外部発行者です。AWS は、発行者解決ロジックにおける不適切な認可の問題である CVE-2026-119115 を認識しています。影響を受けるバージョンでは、特定の条件下で、名前空間に制限された発行者のみを認可する承認ポリシーを持つ認証済みユーザーが、使用の認可を受けていないクラスターに制限された発行者によって署名された証明書 (下位 CA 証明書を含む) を入手できる場合があります。
影響を受けるバージョン:
- v1.10.1 より前の aws-privateca-issuer
- v1.10.1-eksbuild.1 より前の AWS Private CA Connector for Kubernetes EKS アドオン
解決方法:
この問題は、aws-privateca-issuer バージョン v1.10.1 および AWS Private CA Connector for Kubernetes EKS アドオンバージョン v1.10.1-eksbuild.1 で対処されています。最新バージョンにアップグレードし、フォークしたコードや派生コードにパッチを適用して新しい修正を組み込むことをお勧めします。
アップグレード前に必要なアクション: v1.10.1 では、issuerRef.kind が正確に AWSPCAIssuer または AWSPCAClusterIssuer であり、参照先の発行者の kind と一致することが強制されます。従来の甘い解決方法に依存していた証明書リクエストは、アップグレード後に更新されなくなり、これらの証明書の有効期限が切れると、それらに依存しているサービスが影響を受けます。欠落または不適切な issuerRef.kind (発行者の kind を指定しない Ingress 注釈で cert-manager が設定する kind: Issuer を含む) は、Failed とマークされるようになりました。クラスタースコープの発行者を参照する kind: AWSPCAIssuer を含むリクエストは、無期限に保留中になるようになりました。アップグレード前に、CertificateRequest、Certificate、および Ingress リソースを監査し、参照先の発行者 (名前空間で制限される場合は AWSPCAIssuer、クラスターで制限される場合は AWSPCAClusterIssuer) と一致するように issuerRef.kind を明示的に設定してください。
回避策:
すぐにアップグレードできない場合は、証明書の承認ポリシーと RBAC ルールの範囲を発行者名と発行者 kind の両方に設定してください。
参考情報:
セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com まで E メールでお問い合わせください。