Amazon Kinesis Producer Library: Offenlegung von Zugangsdaten über Logs und Prozessliste

Zusammenfassung

Die Kinesis Producer Library für Java (KPL) kann aufgelöste AWS-Zugangsdaten in Debug-Logs schreiben, wenn der Logger auf DEBUG gesetzt ist. Betroffene Versionen übergeben diese Zugangsdaten ausserdem als Kommandozeilenargumente an einen nativen Kindprozess, wo andere lokale Benutzer sie in der Prozessliste auslesen können. Ein Angreifer mit lokalem Zugriff und niedrigen Berechtigungen kann so AWS-Zugangsdaten erlangen, was den Zugriff auf die zugehörigen AWS-Ressourcen ermöglichen kann. Der Angriff setzt lokalen Zugriff auf den Host oder den Container voraus.

Betroffen

• com.amazonaws:amazon-kinesis-producer (0.x) bis und mit 0.15.12
• software.amazon.kinesis:amazon-kinesis-producer (1.x) unterhalb 1.0.8
• Hinweis: Eine Drittquelle (VulDB) nennt zusätzlich 1.0.0 bis 1.0.7; der Hersteller nennt unterhalb 1.0.8.

Behoben in

• Version 1.0.8 der Amazon Kinesis Producer Library für Java (KPL)
• Benutzer von 0.x sollten auf software.amazon.kinesis:amazon-kinesis-producer 1.0.8 oder neuer migrieren.

Umgehung

• Das Upgrade auf 1.0.8 oder neuer ist die einzige vollständige Behebung.
• Den Daemon-Logger explizit auf INFO oder höher setzen: software.amazon.kinesis.producer.Daemon (1.x) bzw. com.amazonaws.services.kinesis.producer.Daemon (0.x). So bleibt er über DEBUG, auch wenn der Root-Logger auf DEBUG steht. Die Einstellung LogLevel der KPL wirkt sich nicht auf den Daemon-Logger aus.
• Einen Log-Filter hinzufügen, der Meldungen, die mit Starting Native Process beginnen, verwirft oder schwärzt.
• Keine Konfiguration entfernt die Zugangsdaten aus der Argumentliste des nativen Prozesses; den lokalen Zugriff auf den Host oder Container einschränken und keine untrusted lokalen Konten zulassen.
• Diese Massnahmen verhindern nur künftige Offenlegung; bereits protokollierte Zugangsdaten müssen zusätzlich bereinigt werden.

Ausnutzung

• Bis 1. Nov 2026 ist keine Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Proof of Concept gefunden.
• CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.

Unsere Empfehlung

• Java-Anwendungen mit KPL unter beiden Maven-Koordinaten inventarisieren.
• Versionen unterhalb 1.0.8 identifizieren und das Upgrade auf 1.0.8 oder neuer planen.
• DEBUG-Logging-Einstellungen prüfen und den Daemon-Logger als Übergangsmassnahme auf INFO oder höher setzen.
• Bestehende Logs auf Zugangsdaten durchsuchen und betroffene Logs schwärzen oder löschen.
• Langlebige IAM-Benutzerschlüssel rotieren und aktive Rollensitzungen bei Bedarf widerrufen.
• Kurzlebige IAM-Rollen-Zugangsdaten mit minimalen Berechtigungen bevorzugen.
• Lokalen Zugriff auf Hosts und CI/CD-Runner, auf denen der Producer läuft, einschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• AWS Security Bulletin 2026-159-AWS aws.amazon.com
• GitHub Release v1.0.8 github.com
• GitHub Security Advisory GHSA-mr97-jq69-qr5f github.com
• GitHub Security Overview amazon-kinesis-producer github.com
• VulDB CVE-2026-119117 (third-party) vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 14:33.