آسیب‌پذیری CVE-2026-119115 در افزونه AWS Private CA Connector for Kubernetes (معروف به aws-privateca-issuer) شناسایی شده است. این افزونه که به عنوان یک Issuer خارجی برای cert-manager عمل می‌کند، وظیفه امضای درخواست‌های گواهی (Certificate Requests) را با استفاده از AWS Private Certificate Authority بر عهده دارد.
جزئیات آسیب‌پذیری
مشکل اصلی در منطق issuer resolution (شناسایی صادرکننده) و نقص در فرآیند احراز هویت نهفته است. در نسخه‌های آسیب‌پذیر، یک کاربر احراز هویت شده که سیاست‌های دسترسی او تنها محدود به یک namespace-scoped issuer باشد، می‌تواند با سوءاستفاده از این نقص، گواهی‌هایی (از جمله گواهی‌های subordinate CA) را از یک cluster-scoped issuer دریافت کند که مجاز به استفاده از آن نیست.
راهکار اصلاحی و اقدامات لازم
این نقص در نسخه‌های زیر برطرف شده است:
- aws-privateca-issuer: نسخه v1.10.1
- AWS Private CA Connector for Kubernetes EKS add-on: نسخه v1.10.1-eksbuild.1
هشدار بسیار مهم قبل از ارتقا: نسخه v1.10.1 سخت‌گیری بیشتری در مورد فیلد issuerRef.kind اعمال می‌کند. این فیلد باید دقیقاً برابر با AWSPCAIssuer (برای سطح Namespace) یا AWSPCAClusterIssuer (برای سطح Cluster) باشد. اگر قبل از ارتقا، منابع CertificateRequest، Certificate و Ingress خود را بازبینی و اصلاح نکنید، فرآیند تمدید گواهی‌ها (Renewal) متوقف شده و سرویس‌های وابسته به آن‌ها پس از انقضای گواهی‌ها دچار اختلال خواهند شد.
در صورتی که امکان ارتقای فوری وجود ندارد، توصیه می‌شود سیاست‌های تایید گواهی (Certificate Approval Policies) و قوانین RBAC خود را هم بر اساس نام صادرکننده (Issuer Name) و هم بر اساس نوع آن (Issuer Kind) محدود کنید.
