AWS פרסמה ב-30 באוקטובר 2026 התראת אבטחה חשובה עבור Amazon Kinesis Producer Library for Java, הספרייה המשמשת יישומי Java לשליחת נתונים בקצב גבוה אל Amazon Kinesis Data Streams. החולשה, שקיבלה את המזהה CVE-2026-119117, עלולה לחשוף אישורי AWS למשתמש מקומי דרך שני נתיבים שונים.
כיצד האישורים נחשפים?
בגרסאות הפגיעות, כאשר ה-logger של הספרייה מוגדר לרמת DEBUG, פרטי האישורים שהספרייה פתרה עבור היישום עשויים להיכתב אל קובץ הלוג. בנוסף, אותן גרסאות מעבירות את האישורים אל תהליך native כארגומנטים בשורת הפקודה. משתמש מקומי שמסוגל לקרוא את רשימת התהליכים והארגומנטים עלול לכן לראות אותם.
הבעיה נוגעת לגרסאות com.amazonaws:amazon-kinesis-producer עד 0.15.12 כולל, וכן לגרסאות software.amazon.kinesis:amazon-kinesis-producer הקודמות ל-1.0.8. AWS מדגישה כי שדרוג ל-1.0.8 ומעלה הוא התיקון המלא היחיד.
מה מנהלי מערכות צריכים לעשות?
- לשדרג מיד ל-1.0.8 ומעלה: ארגונים שעדיין משתמשים בענף 0.x צריכים לעבור לחבילה העדכנית.
- לבדוק לוגים קיימים: יש לאתר ולמחוק או להשחיר רשומות שהופקו ב-DEBUG. סורקי סודות רגילים עלולים לפספס את הערכים משום שהם עשויים להופיע בקידוד הקסדצימלי.
- להחליף אישורים שנחשפו: אם נעשה שימוש במפתחות IAM ארוכי טווח, מומלץ לסובב אותם. לפי הצורך יש גם לבטל sessions פעילים של תפקידי IAM.
- להעדיף אישורים זמניים: שימוש ב-IAM Roles עם הרשאות מינימליות מצמצם את חלון החשיפה ואת ההשפעה האפשרית.
הפחתת סיכון עד להשלמת השדרוג
מי שאינו יכול לשדרג מיד יכול להגדיר את ה-Daemon logger לרמת INFO ומעלה ולהוסיף סינון ללוגים עבור הודעות שמתחילות ב-"Starting Native Process". עם זאת, שינוי רמת הלוג אינו מסיר את האישורים מרשימת הארגומנטים של התהליך. לכן כדאי להריץ את ה-producer על שרת או container ללא חשבונות מקומיים שאינם מהימנים.
ארגונים שמרכזים לוגים במערכות SIEM צריכים לבדוק גם עותקים שנשלחו לאחסון מרכזי, לא רק את הלוג המקומי. חשיפה שכבר התרחשה אינה מתבטלת לאחר השדרוג.
מקור: AWS Security Bulletin 2026-159-AWS.
תמונה: Daniil Komov / Pexels. דף המקור; רישיון Pexels Free מתיר שימוש באתר, בסושיאל ובשיווק. התמונה להמחשה בלבד.
