CVE-2026-119117 – Amazon Kinesis Producer Library for Java의 로그 파일 및 프로세스 인수 목록에 민감한 정보 삽입
공지 ID: 2026-159-AWS
범위: AWS
콘텐츠 유형: 중요(주의 필요)
게시 날짜: 10/30/2026 11:00 PM PDT
설명:
Kinesis Producer Library(KPL)는 높은 처리량으로 Amazon Kinesis Data Streams에 데이터를 쓰기 위한 오픈 소스 Java 라이브러리입니다. KPL은 고객 자격 증명을 사용하여 고객의 AWS 계정 내 고객 애플리케이션에서 실행되는 클라이언트 라이브러리입니다.
CVE-2026-119117을 게시했습니다. Amazon Kinesis Producer Library for Java 1.0.8 이전 버전에서 라이브러리의 로거가 DEBUG 로그 수준으로 설정된 경우, 민감한 정보가 로그 파일에 기록되어 로컬 사용자가 라이브러리가 애플리케이션에 사용하기 위해 확인한 AWS 자격 증명을 획득할 수 있습니다. 별도로, 영향을 받는 라이브러리 버전은 이러한 자격 증명을 네이티브 자식 프로세스로 명령줄 인수를 통해 전달하므로 로컬 사용자는 프로세스 인수 목록에서 이를 읽을 수 있습니다.
이 문제를 해결하려면 1.0.8 이상 버전으로 업그레이드하고, 장기 IAM 사용자 키를 교체하며, 필요한 경우 활성 역할 세션을 취소하고, 영향을 받는 버전에서 기록한 로그 데이터에 대한 접근을 제한하거나 민감한 정보를 가려야 합니다. 0.x 버전 사용자는 software.amazon.kinesis:amazon-kinesis-producer 1.0.8 이상 버전으로 마이그레이션해야 합니다.
영향을 받는 버전:
- com.amazonaws:amazon-kinesis-producer 0.15.12 이하
- software.amazon.kinesis:amazon-kinesis-producer 1.0.8 미만
해결 방법:
이 문제는 Amazon Kinesis Producer Library for Java(KPL) 버전 1.0.8에서 해결되었습니다. 0.x 및 1.x 버전 사용자는 1.0.8 이상 버전으로 업그레이드해야 합니다.
임시 해결 방법:
1.0.8 이상 버전으로 업그레이드하는 것이 유일한 완전한 수정 사항입니다. 즉시 업그레이드할 수 없는 고객은 다음과 같이 위험을 줄일 수 있습니다.
자격 증명이 로그에 기록되는 것을 방지하려면 데몬 로거가 DEBUG 로그 수준 이하로 구성되지 않았는지 확인하세요. 루트 로거가 DEBUG로 설정되어 있더라도 DEBUG 로그 수준보다 높게 유지되도록 로깅 구성에서 1.x용 software.amazon.kinesis.producer.Daemon 및 0.x용 com.amazonaws.services.kinesis.producer.Daemon을 INFO 이상으로 명시적으로 설정하세요. KPL 자체 LogLevel 설정은 데몬 로거에 영향을 주지 않습니다. 추가적인 보호 조치로, 로그 파이프라인에 “Starting Native Process”로 시작하는 메시지를 삭제하거나 민감한 정보를 마스킹하는 필터를 추가합니다. 이러한 값은 16진수로 인코딩되어 있으므로 시크릿 스캐너가 탐지하지 못할 가능성이 높습니다.
영향을 받는 버전에서는 어떤 구성으로도 네이티브 프로세스의 인수 목록에서 자격 증명을 제거할 수 없습니다. 접근 권한을 제한하기 위해 신뢰할 수 없는 로컬 계정이 없는 호스트나 컨테이너에서 생산자를 실행합니다.
장기 지속 키를 교체하고, 필요한 경우 활성 역할 세션을 취소하며, 영향을 받은 로그에서 민감한 정보를 마스킹하거나 해당 로그를 삭제합니다. 장기간 지속되는 액세스 키보다는 단기 IAM 역할 자격 증명을 사용하고, 특정 스트림 및 네임스페이스 Amazon 리소스 이름(ARN)에 대한 kinesis:PutRecords 및 cloudwatch:PutMetricData와 같이 생산자에 필요한 최소 권한으로 역할 범위를 지정하는 것이 좋습니다.
이러한 조치는 자격 증명의 향후 공개만 방지합니다. 이미 로그에 기록된 자격 증명은 여전히 위의 수정 조치가 필요합니다.
참고 사항:
도움을 주신 분:
조정된 취약성 공개 프로세스를 통해 이 문제에 협력해 주신 Keeper Security의 Justin Capella님께 감사드립니다.
보안 관련 질문이나 우려 사항이 있는 경우 aws-security@amazon.com 으로 이메일을 보내 주세요.