CVE-2026-119115: autorização incorreta na resolução do emissor no Conector de CA Privado da AWS para Kubernetes
ID do boletim: 2026-156-AWS
Escopo: AWS
Tipo de conteúdo: importante (requer atenção)
Data de publicação: 29/10/2026 09:30 PDT
Descrição:
O Conector de CA Privado da AWS para Kubernetes (aws-privateca-issuer) é um emissor externo para cert-manager que assina solicitações de certificados usando a Autoridade de Certificação Privada da AWS. Estamos cientes da vulnerabilidade CVE-2026-119115, um problema de autorização incorreta na lógica de resolução do emissor. Nas versões afetadas, sob certas condições, um usuário autenticado cuja política de aprovação autoriza apenas um emissor com escopo de namespace pode obter certificados, incluindo certificados CA subordinados, assinados por um emissor com escopo de cluster que ele não está autorizado a usar.
Versões afetadas:
- aws-privateca-issuer anterior à v1.10.1;
- Complemento do Conector de CA Privado da AWS para Kubernetes anterior à v1.10.1-eksbuild.1
Resolução:
Esse problema foi resolvido no aws-privateca-issuer versão v1.10.1 e no complemento do EKS para o Conector de CA Privado da AWS para Kubernetes, versão v1.10.1-eksbuild.1. Recomendamos atualizar para a versão mais recente e garantir que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções.
Ação necessária antes da atualização: a v1.10.1 impõe que issuerRef.kind seja exatamente AWSPCAIssuer ou AWSPCAClusterIssuer e corresponda ao tipo de emissor ao qual ele se refere. As solicitações de certificados que dependiam da resolução tolerante anterior vão parar de renovar após a atualização, e os serviços que dependem delas serão afetados quando esses certificados expirarem. Um issuerRef.kind ausente ou incorreto, incluindo o tipo: o emissor, que o cert-manager define para anotações de entrada que não especificam um tipo de emissor, agora está marcado como Com falha; uma solicitação com o tipo: o AWSPCAIssuer que faz referência a um emissor com escopo de cluster agora permanece pendente indefinidamente. Antes da atualização, audite seus recursos de CertificateRequest, Certificate e Ingress e defina issuerRef.kind explicitamente para corresponder ao emissor referenciado (AWSPCAIssuer para escopo de namespace, AWSPCAClusterIssuer para escopo de cluster).
Soluções alternativas:
Se você não puder atualizar imediatamente, delimite suas políticas de aprovação de certificados e regras de RBAC tanto para o nome do emissor quanto para o tipo de emissor.
Referências:
Envie um e-mail para aws-security@amazon.com com qualquer dúvida ou preocupação relacionada à segurança.