CVE-2026-103505 – Amazon EFS CSI ドライバーにおけるマウントオプションインジェクション
速報 ID: 2026-120-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
発行日: 2026 年 10 月 1 日午前 8 時 30 分 (太平洋標準時)
説明:
Amazon EFS CSI Driver は、Kubernetes クラスターから Amazon Elastic File System を利用するための Container Storage Interface ドライバーです。AWS は、PersistentVolume の作成権限を持つアクターが mounttargetipmap volumeAttribute を使用して追加のマウントオプションを注入することのできる CVE-2026-103505 を特定しました。この JSON マップ内の値にカンマ区切りの値を追加すると、mount ユーティリティは、それらを個別のマウントオプションとして解釈します。
影響を受けるバージョン: >= v3.1.0 および <= v3.4.2
解決方法:
この問題は Amazon EFS CSI ドライバーバージョン v3.5.0 で修正されています。最新バージョンにアップグレードし、フォークしたコードや派生コードにパッチを適用して新しい修正を反映させることをお勧めします。
回避策:
PersistentVolume と StorageClass の作成を Kubernetes RBAC を使用するクラスター管理者のみに制限し、信頼できないユーザーが任意のフィールド値を提供できないようにします。
参考情報:
セキュリティに関するご質問やご懸念がある場合は、aws-security@amazon.com までメールでお問い合わせください。