CVE-2026-119117 – Amazon Kinesis Producer Library for Java 中將敏感資訊插入日誌檔與程序引數清單
公告 ID： 2026-159-AWS
範圍：AWS
內容類型：重要 (需要注意)
發布日期： 2026 年 10 月 30 日晚上 11:00 (太平洋夏令時間)
描述：
Kinesis Producer Library (KPL) 是一套開放原始碼 Java 程式庫，可將資料以高輸送量寫入 Amazon Kinesis Data Streams。KPL 是一套在客戶應用程式內執行的用戶端程式庫，執行於客戶的 AWS 帳戶中，並使用客戶的憑證。
我們已發布 CVE-2026-119117。在 1.0.8 之前的 Amazon Kinesis Producer Library for Java 中，當程式庫的日誌記錄器設定為 DEBUG 日誌層級時，敏感資訊可能被寫入日誌檔，進而讓本機使用者取得程式庫為應用程式解析的 AWS 憑證。另外，受影響的程式庫版本會將這些憑證以命令列引數的形式傳遞給原生子程序，本機使用者可從程序引數清單中讀取這些憑證。
若要修復此問題，使用者應升級至 1.0.8 或更新版本、輪換任何長期 IAM 使用者金鑰、視需要撤銷作用中的角色工作階段，並限制或遮蔽受影響版本所寫入的日誌資料。0.x 版使用者應移轉至 software.amazon.kinesis:amazon-kinesis-producer 1.0.8 或更新版本。
受影響的版本：
- com.amazonaws:amazon-kinesis-producer <= 0.15.12
- oftware.amazon.kinesis:amazon-kinesis-producer < 1.0.8
解決方案：
此問題已在 Amazon Kinesis Producer Library for Java (KPL) 版本 1.0.8 中解決。0.x 版與 1.x 版使用者應升級至 1.0.8 或更新版本。
變通方法：
升級至 1.0.8 或更新版本是唯一完整的修正方式。無法立即升級的客戶可透過下列方式降低風險：
若要避免憑證被寫入日誌，請確認常駐程式日誌記錄器未設定為 DEBUG 日誌層級或更低層級。請在日誌記錄設定中將其明確設定為 INFO 或更高層級：1.x 版為 software.amazon.kinesis.producer.Daemon，0.x 版為 com.amazonaws.services.kinesis.producer.Daemon，如此一來，即使根日誌記錄器設定為 DEBUG，它仍會維持在 DEBUG 日誌層級之上。KPL 本身的 LogLevel 設定不會影響常駐程式日誌記錄器。作為第二層防護，請在日誌管道中新增篩選條件，捨棄或遮蔽開頭為 "Starting Native Process" 的訊息；由於這些值採用十六進位編碼，機密掃描工具很可能無法偵測到它們。
在受影響版本中，沒有任何設定可從原生程序的引數清單移除這些憑證。若要限制可讀取該引數清單的人員，請在沒有不受信任本機帳戶的主機上或容器中執行生產者。
輪換長期金鑰、視需要撤銷作用中的角色工作階段，並遮蔽或移除受影響的日誌。我們建議使用短期 IAM 角色憑證，而非長期存取金鑰，並將角色的權限範圍限制在生產者所需的最小權限，例如特定串流與命名空間 Amazon Resource Names (ARN) 上的 kinesis:PutRecords 和 cloudwatch:PutMetricData。
這些措施只能防止憑證在未來遭到揭露；已寫入日誌的憑證仍需要上述補救措施。
參考資料：
致謝：
我們感謝 Keeper Security 的 Justin Capella 透過協調式揭露流程與我們合作處理此問題。
如有任何安全性問題或疑慮，請寄電子郵件至 aws-security@amazon.com 。