メインコンテンツに移動

CVE-2026-119117 – Amazon Kinesis Producer Library for Java でのログファイルとプロセス引数リストへの機密情報の挿入

速報 ID: 2026-159-AWS
スコープ: AWS
コンテンツタイプ: 重要 (注意が必要)
公開日: 2026 年 10 月 30 日午後 11 時 (太平洋夏時間)

説明:

Kinesis Producer Library (KPL) は、Amazon Kinesis Data Streams に高スループットでデータを書き込むためのオープンソース Java ライブラリです。KPL は、お客様のアプリケーション内で実行されるクライアントライブラリであり、お客様の AWS アカウント内でお客様の認証情報を使用します。

AWS は CVE-2026-119117 を公開しました。1.0.8 以前の Amazon Kinesis Producer Library for Java でロガーを DEBUG ログレベルに設定している場合、ログファイルに機密情報が書き込まれると、ライブラリがアプリケーションに対して解決した AWS の認証情報がローカルのユーザーによって取得されてしまう可能性があります。これとは別に、影響を受けるライブラリバージョンでは、こうした認証情報をネイティブの子プロセスにコマンドライン引数として渡してしまうため、ローカルユーザーはプロセスの引数リストから認証情報を読み取ることができます。

この問題を修正するには、ユーザーはバージョン 1.0.8 またはそれ以降へのアップグレード、長期 IAM ユーザーキーのローテーション、必要に応じてアクティブなロールセッションの取り消し、影響を受けるバージョンによって書き込まれたログデータの制限または編集を行なう必要があります。0.x バージョンのユーザーは software.amazon.kinesis:amazon-kinesis-producer 1.0.8 またはそれ以降に移行する必要があります。

影響を受けるバージョン:

  • com.amazonaws:amazon-kinesis-producer 0.15.12 およびそれ以前のバージョン
  • software.amazon.kinesis:amazon-kinesis-producer 1.0.8 以前のバージョン

解決方法:

この問題は、Amazon Kinesis Producer Library for Java (KPL) バージョン 1.0.8 で対処されています。バージョン 0.x および 1.x のユーザーは、1.0.8 またはそれ以降にアップグレードする必要があります。

回避策:

1.0.8 またはそれ以降へのアップグレードが唯一の完全な修正です。すぐにアップグレードできないお客様は、次の手段でリスクを軽減できます:

認証情報がログに書き込まれないようにするには、Daemon ロガーの設定が DEBUG ログレベルまたはそれ以下になっていないか確認します。ログ設定で明示的に INFO またはそれ以上に設定します。1.x の場合は software.amazon.kinesis.producer.Daemon、0.x の場合は com.amazonaws.services.kinesis.producer.Daemon になります。これで、ルートロガーが DEBUG の設定になっていても、DEBUG ログレベル以上の設定を維持できます。KPL 独自の LogLevel 設定は Daemon ロガーには影響しません。2 番目のレイヤーとして、「Starting Native Process」で始まるメッセージをドロップまたは編集するフィルターをログパイプラインに追加します。これらの値は 16 進数でエンコードされているため、シークレットスキャナーでは検出されない可能性が高くなります。

どの設定も、影響を受けるバージョンでは、ネイティブプロセスの引数リストから認証情報を削除しません。これを読み取れるユーザーを制限するには、信頼できないローカルアカウントがないホストまたはコンテナでプロデューサーを実行してください。

存続期間の長いキーをローテーションし、必要に応じてアクティブなロールセッションを取り消し、影響を受けたログを編集または削除してください。存続期間の長いアクセスキーではなく、存続期間の短い IAM ロール認証情報を使用し、ロールの範囲をプロデューサーが必要とする最小限のアクセス許可に設定することをお勧めします (kinesis:PutRecords や cloudwatch:PutMetricData を特定のストリームや名前空間の Amazon リソースネーム (ARN) に限定して許可するなど)。

これらの対策は認証情報の今後の開示を防ぐものです。既にログに書き込まれた認証情報については、上記の修正が必要です。

参考情報:

謝辞:

協調的開示プロセスを通じてこの問題に協力してくださった Keeper Security の Justin Capella 氏に感謝いたします。


セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com  まで E メールでお問い合わせください。