CVE-2026-119115 – AWS Private CA Connector for Kubernetes 中簽發者解析時的授權不正確
公告 ID： 2026-156-AWS
範圍：AWS
內容類型：重要 (需要注意)
發布日期： 2026 年 10 月 29 日上午 9:30 (太平洋夏令時間)
描述：
AWS Private CA Connector for Kubernetes (aws-privateca-issuer) 是 cert-manager 的外部簽發者，使用 AWS 私有憑證認證機構 簽署憑證請求。我們已得知 CVE-2026-119115，這是簽發者解析邏輯中的授權不正確問題。在受影響的版本中，在特定條件下，一位其核准政策僅授權命名空間範圍簽發者的已驗證使用者，可以取得由其無權使用的叢集範圍簽發者所簽署的憑證，包括次級 CA 憑證。
受影響的版本：
- v1.10.1 之前的 aws-privateca-issuer；
- v1.10.1-eksbuild.1 之前的 AWS Private CA Connector for Kubernetes EKS 附加元件
解決方案：
此問題已在 aws-privateca-issuer 版本 v1.10.1 以及 AWS Private CA Connector for Kubernetes EKS 附加元件版本 v1.10.1-eksbuild.1 中解決。我們建議升級至最新版本，並確保任何分支或衍生程式碼皆已套用修補程式，以納入新的修正。
升級前需採取的行動：v1.10.1 強制要求 issuerRef.kind 必須完全符合 AWSPCAIssuer 或 AWSPCAClusterIssuer，且符合其所參照簽發者的類型。依賴先前寬鬆解析的憑證請求在升級後將停止續期，依賴這些憑證的服務在憑證到期時會受到影響。遺漏或不正確的 issuerRef.kind – 包括 kind：Issuer，cert-manager 為未指定簽發者類型的 Ingress 註釋所設定的值 – 現在標記為 Failed；帶有 kind 的請求：參照叢集範圍簽發者的 AWSPCAIssuer 現在會無限期保持 Pending 狀態。升級前，稽核您的 CertificateRequest、Certificate 和 Ingress 資源，並明確設定 issuerRef.kind 以符合所參照的簽發者 (命名空間範圍使用 AWSPCAIssuer，叢集範圍使用 AWSPCAClusterIssuer)。
變通方法：
若您無法立即升級，請將您的憑證核准政策和 RBAC 規則範圍設定為同時包含簽發者名稱和簽發者類型。
參考資料：
如有任何安全性問題或疑慮，請寄電子郵件至 aws-security@amazon.com 。