ID do boletim: 2026-159-AWS
Escopo: AWS
Tipo de conteúdo: importante (requer atenção)
Data de publicação: 30/10/2026 23:00 PDT

Descrição:

A Kinesis Producer Library (KPL) é uma biblioteca Java de código aberto para escrever dados no Amazon Kinesis Data Streams com alto throughput. A KPL é uma biblioteca de cliente que é executada dentro da aplicação do cliente, na conta da AWS do cliente, usando as credenciais do cliente.

Publicamos a vulnerabilidade CVE-2026-119117. A inserção de informações sensíveis em um arquivo de log na Amazon Kinesis Producer Library para Java antes da versão 1.0.8, quando o agente de log da biblioteca está configurado no nível de log DEBUG, pode permitir que usuários locais obtenham as credenciais da AWS que a biblioteca resolveu para a aplicação. Separadamente, as versões afetadas da biblioteca passam essas credenciais para o processo secundário nativo como argumentos de linha de comandos, em que um usuário local pode lê-las na lista de argumentos do processo.

Para remediar esse problema, os usuários devem fazer a atualização para a versão 1.0.8 ou posterior, rotacionar quaisquer chaves de usuário do IAM de longo prazo, revogar sessões ativas de perfis quando necessário e restringir ou suprima dados de log gravados por uma versão afetada. Usuários da versão 0.x devem migrar para software.amazon.kinesis:amazon-kinesis-producer 1.0.8 ou posterior.

Versões afetadas:

• com.amazonaws:amazon-kinesis-producer <= 0.15.12
• oftware.amazon.kinesis:amazon-kinesis-producer < 1.0.8

Resolução:

Esse problema foi resolvido na versão 1.0.8 da Amazon Kinesis Producer Library para Java (KPL). Os usuários das versões 0.x e 1.x devem atualizar para a versão 1.0.8 ou posterior.

Soluções alternativas:

Atualizar para a versão 1.0.8 ou posterior é a única correção completa. Clientes que não puderem fazer a atualização imediatamente podem reduzir o risco da seguinte forma:

Para impedir que credenciais sejam gravadas no log, certifique-se de que o agente de log do Daemon não esteja configurado no nível de log DEBUG ou inferior. Defina-o explicitamente como INFO ou superior na configuração de registro em log, software.amazon.kinesis.producer.Daemon para 1.x e com.amazonaws.services.kinesis.producer.Daemon para 0.x, para que ele permaneça acima do nível de log DEBUG mesmo se o agente de log raiz estiver definido como DEBUG. A configuração de LogLevel própria da KPL não afeta o agente de log do Daemon. Como uma segunda camada, adicione um filtro ao pipeline de log que descarte ou oculte mensagens que iniciem com "Starting Native Process"; os scanners de segredos provavelmente não detectarão esses valores porque eles estão codificados em hexadecimal.

Nenhuma configuração remove as credenciais da lista de argumentos do processo nativo nas versões afetadas. Para limitar quem pode lê-la, execute o produtor em hosts ou em contêineres sem contas locais não confiáveis.

Rotacione chaves de longa duração, revogue sessões ativas de perfis quando necessário e suprima ou remova os logs afetados. Recomendamos usar credenciais de perfis do IAM de curta duração em vez de chaves de acesso de longa duração e definir o escopo do perfil de acordo com as permissões mínimas de que o produtor precisa, como kinesis:PutRecords e cloudwatch:PutMetricData nos nomes do recurso da Amazon (ARN) específicos do stream e namespace.

Essas medidas apenas impedem a divulgação futura de credenciais; as credenciais já gravadas nos logs ainda precisam das remediações acima.

Referências:

• CVE-2026-119117
• GHSA-mr97-jq69-qr5f
• Revogar credenciais de segurança temporárias do perfil do IAM

Reconhecimento:

Gostaríamos de agradecer a Justin Capella da Keeper Security por colaborar nessa questão por meio do processo coordenado de divulgação.

Envie um e-mail para aws-security@amazon.com  com qualquer dúvida ou preocupação relacionada à segurança.