CVE-2026-103505 - Amazon EFS CSI 드라이버의 마운트 옵션 인젝션
공지 ID: 2026-120-AWS
범위: AWS
콘텐츠 유형: 중요(주의 필요)
게시 날짜: 10/01/2026 08:30 AM PDT
설명:
Amazon EFS CSI 드라이버는 Kubernetes 클러스터에서 Amazon Elastic File System을 사용할 수 있게 해주는 컨테이너 스토리지 인터페이스 드라이버입니다. PersistentVolume 생성 권한이 있는 액터가 mounttargetipmap volumeAttribute을 통해 추가 마운트 옵션을 주입할 수 있는 CVE-2026-103505를 식별했습니다. JSON 맵 내부의 값에 쉼표로 구분된 값을 추가하면 탑재 유틸리티가 이를 별도의 마운트 옵션으로 구문 분석합니다.
영향을 받는 버전: >= v3.1.0 AND <= v3.4.2
해결 방법:
이 문제는 Amazon EFS CSI Driver 버전 v3.5.0에서 해결되었습니다. 최신 버전으로 업그레이드하고, 새로운 수정 사항이 반영되도록 포크되거나 파생된 코드에 패치를 적용하는 것이 좋습니다.
우회 방법:
PersistentVolume 및 StorageClass 생성을 Kubernetes RBAC를 사용하는 클러스터 관리자로만 제한하여 신뢰할 수 없는 사용자가 임의의 필드 값을 제공하지 못하도록 합니다.
참고 사항:
보안 관련 질문이나 우려 사항이 있는 경우 aws-security@amazon.com 로 이메일을 보내 주세요.