CVE-2026-119117：Amazon Kinesis Producer Library for Java 日誌與程序引數洩露 AWS 憑證
CVE-2026-119117 - Insertion of sensitive information into a log file and process argument list in the Amazon Kinesis Producer Library for Java
Amazon Kinesis Producer Library for Java 在 1.0.8 之前的版本中，若 logger 設為 DEBUG，可能將 AWS 憑證寫入日誌，並以命令列引數傳遞給子程序，讓本地使用者可讀取。
此漏洞暴露了 AWS 憑證，提醒使用者及時升級與審核憑證，以防止本地使用者竊取敏感資訊。
在 Amazon Kinesis Producer Library for Java 1.0.8 之前，當庫的日誌記錄器設為 DEBUG 日誌級別時，可能會將敏感資訊寫入日誌檔，讓本機使用者取得該庫為應用程式解析的 AWS 憑證。另有受影響的版本會將這些憑證作為命令列引數傳遞給原生子程序，使用者可從程序引數列表讀取。為了修正此問題，使用者應升級至 1.0.8 或更高版本，旋轉任何長期 IAM 使用者金鑰，必要時撤銷活躍角色會話，並限制或遮蔽受影響版本寫入的日誌資料。0.x 使用者應遷移至 software.amazon.kinesis:amazon-kinesis-producer 1.0.8 或更高版本。
影響
受影響產品
以下產品受 CVE-2026-119117 漏洞影響。即使 cvefeed.io 知道受影響產品的精確版本，該資訊在下表中未顯示。
尚未記錄受影響產品
以下為「通用漏洞評分系統（Common Vulnerability Scoring System）」的說明，該系統為評估軟體與系統漏洞嚴重度的標準化框架。我們收集並顯示每個 CVE 的 CVSS 分數，來源多樣。
| 分數 | 版本 | 嚴重度 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | 中等 | ff89ba41-3aa1-4d27-914a-91399e9639e5 | ||||
| CVSS 4.0 | 高 | ff89ba41-3aa1-4d27-914a-91399e9639e5 |
升級 Amazon Kinesis Producer Library、旋轉憑證並限制日誌資料。
- 升級至 Amazon Kinesis Producer Library 1.0.8 或更高版本。
- 旋轉長期 IAM 使用者金鑰。
- 必要時撤銷活躍角色會話。
- 限制或遮蔽敏感日誌資料。
我們掃描 GitHub 倉庫以偵測新的概念驗證攻擊。以下列表為已在 GitHub 釋出的公開攻擊與概念驗證集合（按最近更新排序）。
由於潛在的效能問題，結果僅限前 15 個倉庫。
以下列表為文章中提及 CVE-2026-119117 漏洞的新聞。
EPSS 是對未來 30 天內觀測到利用活動機率的每日估算。下圖顯示該漏洞的 EPSS 分數歷史。