CVE-2026-103505: Inyección de opciones de montaje en el controlador CSI de Amazon EFS
ID de boletín: 2026-120-AWS
Alcance: AWS
Tipo de contenido: Importante (requiere atención)
Fecha de publicación: 1 de octubre de 2026 a las 08:30 PDT
Descripción:
El controlador de CSI de Amazon EFS es un controlador de interfaz de almacenamiento de contenedores que permite a los clústeres de Kubernetes utilizar Amazon Elastic File System. Hemos identificado la vulnerabilidad CVE-2026-103505, en la que un actor con privilegios de creación de PersistentVolume puede añadir opciones de montaje adicionales a través del mounttargetipmap volumeAttribute. Al añadir valores separados por comas a un valor dentro de ese mapa JSON, la utilidad de montaje los analiza como opciones de montaje independientes.
Versiones afectadas: >= v3.1.0 Y <= v3.4.2
Resolución:
Este problema se solucionó en la versión v3.5.0 del controlador de CSI de Amazon EFS. Recomendamos actualizar a la versión más reciente y asegurarse de que cualquier código bifurcado o derivado haya sido parcheado para incorporar las nuevas revisiones.
Soluciones alternativas:
Restrinja la creación de PersistentVolume y StorageClass a los administradores de clústeres que utilizan el RBAC de Kubernetes, para evitar que los usuarios que no son de confianza proporcionen valores de campo arbitrarios.
Referencias:
Envíe un correo electrónico a aws-security@amazon.com si tiene alguna pregunta o inquietud sobre seguridad.