CVE-2026-103505 - Iniezione di opzioni di montaggio nel driver CSI di Amazon EFS
ID Bollettino: 2026-120-AWS
Ambito: AWS
Tipo di contenuto: importante (richiede attenzione)
Data di pubblicazione: 01/10/2026 08:30 PDT
Descrizione:
il driver CSI di Amazon EFS è un driver Container Storage Interface che consente ai cluster Kubernetes di utilizzare Amazon Elastic File System. Abbiamo identificato la vulnerabilità CVE-2026-103505, che consente a un utente con privilegi di creazione di PersistentVolume di iniettare opzioni di montaggio aggiuntive mediante mounttargetipmap volumeAttribute. Aggiungere valori separati da virgole a un valore all’interno di tale mappa JSON fa sì che l’utilità di montaggio li analizzi come opzioni di montaggio separate.
Versioni interessate: >= v3.1.0 E <= v3.4.2
Risoluzione:
questo problema è stato risolto nella versione v3.5.0 del driver CSI di Amazon EFS. Per incorporare le nuove correzioni, consigliamo di eseguire l’aggiornamento alla versione più recente e di assicurarsi che siano state applicate le patch a qualsiasi codice derivato o di cui è stato eseguito il fork.
Soluzioni alternative:
limitare la creazione di PersistentVolume e StorageClass agli amministratori del cluster tramite RBAC di Kubernetes, impedendo agli utenti non attendibili di fornire valori arbitrari nei campi.
Riferimenti:
Invia un’e-mail a aws-security@amazon.com per eventuali domande o dubbi sulla sicurezza.