CVE-2026-103505: injeção de opções de montagem no driver CSI do Amazon EFS
ID do boletim: 2026-120-AWS
Escopo: AWS
Tipo de conteúdo: Importante (requer atenção)
Data de publicação: 01/10/2026 8h30 PDT
Descrição:
O driver CSI do Amazon EFS é um driver de Interface de armazenamento de contêineres que permite que os clusters do Kubernetes utilizem o Amazon Elastic File System. Identificamos o CVE-2026-103505, em que um agente com privilégios de criação de PersistentVolume pode injetar opções de montagem adicionais por meio do mounttargetipmap volumeAttribute. Anexar valores separados por vírgula a um valor dentro desse mapa JSON faz com que o utilitário de montagem os analise como opções de montagem diferentes.
Versões afetadas: >= v3.1.0 E <= v3.4.2
Resolução:
O problema foi resolvido na versão v3.5.0 do Amazon EFS CSI Driver. Recomendamos atualizar para a versão mais recente e garantir que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções.
Soluções alternativas:
Restrinja a criação de PersistentVolume e StorageClass aos administradores do cluster por meio do RBAC do Kubernetes, impedindo que usuários não confiáveis forneçam valores arbitrários nos campos.
Referências:
Envie um e-mail para aws-security@amazon.com com qualquer dúvida ou preocupação relacionada à segurança.