CVE-2026-103505 : injection d’options de montage dans le pilote CSI Amazon EFS
ID du bulletin : 2026-120-AWS
Portée : AWS
Type de contenu : important (nécessite une attention particulière)
Date de publication : 01/10/2026 à 8 h 30 PDT
Description :
Le pilote CSI Amazon EFS est un pilote Container Storage Interface qui permet aux clusters Kubernetes d’utiliser Amazon Elastic File System. Nous avons identifié CVE-2026-103505, un problème permettant à un acteur disposant de privilèges de création de PersistentVolume d’injecter des options de montage supplémentaires via le volumeAttribute de mounttargetipmap. L’ajout de valeurs séparées par des virgules à une valeur de cet objet JSON amène l’utilitaire de montage à les interpréter comme des options de montage distinctes.
Versions concernées : >= v3.1.0 ET <= v3.4.2
Résolution :
Ce problème a été corrigé dans la version v3.5.0 du pilote CSI Amazon EFS. Nous vous recommandons de passer à la dernière version et d’appliquer les nouveaux correctifs à tout code issu d’un fork ou dérivé.
Solutions de contournement :
Réservez la création de PersistentVolume et de StorageClass aux administrateurs du cluster à l’aide du contrôle d’accès basé sur les rôles (RBAC) de Kubernetes, afin d’empêcher les utilisateurs non approuvés de fournir des valeurs de champ arbitraires.
Références :
Veuillez envoyer un e-mail à aws-security@amazon.com pour toute question ou préoccupation relative à la sécurité.