CVE-2026-119117 in amazon-kinesis-producer
Riassunto
di VulDB • 30/10/2026
L'inserimento di informazioni sensibili in un file di log nella Amazon Kinesis Producer Library per Java prima della versione 1.0.8, quando il logger della libreria è configurato al livello di log DEBUG, potrebbe consentire agli utenti locali di ottenere le credenziali AWS risolte dalla libreria per l'applicazione. In modo separato, le versioni colpite della libreria trasmettono queste credenziali al processo figlio nativo come argomenti della riga di comando, dove un utente locale può leggerle dall'elenco degli argomenti del processo.
Per risolvere questo problema, gli utenti dovrebbero eseguire l'aggiornamento alla versione 1.0.8 o successiva, ruotare le chiavi a lungo termine dell'IAM user, revocare le sessioni dei role attive se necessario e limitare o oscurare i dati di log scritti da una versione interessata. Gli utenti della serie 0.x dovrebbero migrare a software.amazon.kinesis:amazon-kinesis-producer 1.0.8 o versioni successive.
If you want to get best quality of vulnerability data, you may have to visit VulDB.