CVE-2026-119115 - Kubernetes용 AWS Private CA Connector의 발급자 해석에서의 권한 부여 오류
공지 ID: 2026-156-AWS
범위: AWS
콘텐츠 유형: 중요(주의 필요)
게시 날짜: 10/29/2026 09:30 AM PDT
설명:
Kubernetes용 AWS Private CA 커넥터(aws-privateca-issuer)는 AWS Private Certificate Authority를 사용하여 인증서 요청에 서명하는 cert-manager용 외부 발급자입니다. 발급자 해석 로직의 잘못된 권한 부여 문제인 CVE-2026-119115를 인지하고 있습니다. 영향을 받는 버전에서는 특정 조건에서 해당 승인 정책이 네임스페이스 범위 발급자만 허용하는 인증된 사용자가 사용 권한이 없는 클러스터 범위 발급자가 서명한 종속 CA 인증서를 비롯한 인증서를 획득할 수 있었습니다.
영향을 받는 버전:
- v1.10.1 이전 버전의 aws-privateca-issuer,
- v1.10.1-eksbuild.1 이전 버전의 Kubernetes용 AWS Private CA 커넥터 EKS 애드온
해결 방법:
이 문제는 aws-privateca-issuer 버전 v1.10.1 및 Kubernetes용 AWS Private CA 커넥터 EKS 애드온 버전 v1.10.1-eksbuild.1에서 해결되었습니다. 최신 버전으로 업그레이드하고, 새로운 수정 사항이 반영되도록 포크되거나 파생된 코드에 패치를 적용하는 것이 좋습니다.
업그레이드 전 필요한 조치: v1.10.1은 issuerRef.kind가 정확히 AWSPCAIssuer 또는 AWSPCAClusterIssuer이며 참조하는 발급자의 종류와 일치하도록 합니다. 이전의 완화된 발급자 확인 방식에 의존했던 인증서는 업그레이드 후 더 이상 갱신되지 않으며, 해당 인증서가 만료되면 이를 사용하는 서비스에도 영향을 미칩니다. 누락되거나 잘못된 issuerRef.kind(cert-manager가 발급자 종류를 지정하지 않은 Ingress 주석에 설정하는 kind:Issuer)는 이제 Failed로 표시됩니다. 클러스터 범위 발급자를 참조하는 kind: AWSPCAIssuer로 지정된 요청이 Pending 상태로 무기한 유지됩니다. 업그레이드 전에 CertificateRequest, Certificate 및 Ingress 리소스를 감사하고, 참조된 발급자와 일치하도록 issuerRef.kind를 명시적으로 설정합니다(네임스페이스 범위는 AWSPCAIssuer, 클러스터 범위는 AWSPCAClusterIssuer).
임시 해결 방법:
즉시 업그레이드할 수 없는 경우, 인증서 승인 정책과 RBAC 규칙의 적용 범위를 발급자 이름과 발급자 종류 모두를 기준으로 제한합니다.
참고 사항:
보안 관련 질문이나 우려 사항이 있는 경우 aws-security@amazon.com 으로 이메일을 보내 주세요.