CVE-2026-122266

WysokieCVSS 8.7

Opublikowano: 04/11/2026(UTC)Przetłumaczono: 04/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 18 - wyżej niż 18% wszystkich znanych CVE

Streszczenie

W aws-network-policy-agent w Amazon EKS Network Policy Agent przed wersją 1.3.7 (VPC CNI przed 1.22.3) niewłaściwa izolacja współdzielonych zasobów może pozwolić uwierzytelnionemu sąsiadującemu użytkownikowi na obejście egzekwowania ruchu przychodzącego NetworkPolicy na współlokowanych podach przez zatruwanie mapy eBPF conntrack za pomocą spreparowanych ramek AF_PACKET.

Ocena ryzyka

Uwierzytelniony użytkownik w klastrze może ominąć polityki sieciowe i uzyskać nieautoryzowany dostęp do współlokowanych podów.

Rekomendacja

Zaktualizuj Amazon VPC CNI Managed Add-on do wersji 1.22.3 lub nowszej (zawierającej Network Policy Agent 1.3.7).

Inne podatności w Amazon EKS Network Policy Agent

CVE-2026-86831Wysokie
Nieprawidłowa walidacja unikalności identyfikatora poda w aws-network-policy-agent w Amazon EKS Network Policy Agent przed wersją v1.4.0 może pozwolić uwierzytelnionemu zdalnemu użytkownikowi na obejście egzekwowania NetworkPolicy na współlokowanych podach w innych przestrzeniach nazw poprzez spreparowane nazwy podów i przestrzeni nazw powodujące kolizje identyfikatorów podów.

Oryginalny opis (angielski, źródło NVD)

Improper isolation of shared resources in aws-network-policy-agent in Amazon EKS Network Policy Agent before 1.3.7 (VPC CNI before 1.22.3) might allow an authenticated adjacent user to bypass NetworkPolicy ingress enforcement on co-located pods via eBPF conntrack map poisoning using crafted AF_PACKET frames. To remediate this issue, users should upgrade to Amazon VPC CNI Managed Add-on v1.22.3 or later (which includes Network Policy Agent v1.3.7).

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS