CVE-2026-6437

ŚrednieCVSS 6.5

Opublikowano: 17/04/2026(UTC)Zaktualizowano: 26/10/2026(UTC)Przetłumaczono: 21/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.57%

Percentyl 47 - wyżej niż 47% wszystkich znanych CVE

Streszczenie

W komponencie obsługi wolumenów AWS EFS CSI Driver przed wersją v3.0.1 występuje niewłaściwa neutralizacja separatorów argumentów. Zdalni uwierzytelnieni użytkownicy z uprawnieniami do tworzenia PersistentVolume mogą wstrzyknąć dowolne opcje montowania poprzez wstrzyknięcie przecinka.

Ocena ryzyka

Użytkownik z uprawnieniami do tworzenia PersistentVolume może wpłynąć na opcje montowania, co może prowadzić do nieoczekiwanego zachowania lub eskalacji w klastrze. Wymagane są uprawnienia uwierzytelnione do tworzenia PersistentVolume.

Rekomendacja

Zaktualizuj AWS EFS CSI Driver do wersji v3.0.1 lub nowszej. Ogranicz uprawnienia do tworzenia PersistentVolume do zaufanych użytkowników.

Inne podatności w AWS EFS CSI Driver

CVE-2026-103505Średnie
Niewłaściwa neutralizacja separatorów argumentów w komponencie obsługi wolumenów w AWS EFS CSI Driver (aws-efs-csi-driver) w wersjach od v3.1.0 do v3.4.2 może pozwolić zdalnie uwierzytelnionym użytkownikom z uprawnieniami do tworzenia PersistentVolume na wstrzykiwanie dowolnych opcji montowania poprzez wartości rozdzielane przecinkami w atrybucie wolumenu mounttargetipmap. Aby zaradzić temu problemowi, użytkownicy powinni uaktualnić do wersji v3.5.0 lub nowszej.

Oryginalny opis (angielski, źródło NVD)

Improper neutralization of argument delimiters in the volume handling component in AWS EFS CSI Driver (aws-efs-csi-driver) before v3.0.1 allows remote authenticated users with PersistentVolume creation permissions to inject arbitrary mount options via comma injection. To remediate this issue, users should upgrade to version v3.0.1

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS