Veille sécuritéBackend & données
P3Élevée
Amazon Kinesis Producer Library for Java exposait des identifiants AWS dans les journaux au niveau DEBUG et dans les arguments de ligne de commande du processus natif. La version 1.0.8 corrige le problème; il est recommandé de mettre à niveau, de faire tourner les clés IAM persistantes concernées et de révoquer les sessions de rôle actives si nécessaire.
Java
IdentifiantCVE-2026-119117
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.0.8
Source : NVD — CVE-2026-119117
Analyse technique
Les identifiants résolus par la bibliothèque pouvaient apparaître dans les journaux si le logger était configuré au niveau DEBUG. Ils étaient également transmis au processus enfant natif comme arguments de commande, lisibles localement par d’autres utilisateurs.
Impact, versions et correctif
Événement datéLa publication NVD du 2026-10-30T19:18:20.007Z et sa mise à jour du 2026-10-30T20:17:06.480Z sont dans la période; l’avis publié est retenu comme événement de sécurité.
ImpactUn utilisateur local pouvant lire les journaux ou les arguments du processus peut obtenir des identifiants AWS.
Versions affectéesVersions antérieures à 1.0.8; pour les utilisateurs 0.x, migration vers software.amazon.kinesis:amazon-kinesis-producer 1.0.8 ou ultérieure.
Version corrigée1.0.8
ContournementRestreindre ou expurger les journaux produits par une version affectée; faire tourner les clés IAM persistantes et révoquer les sessions actives concernées.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.2
Publication2026-10-30T19:18:20.007Z
Mise à jour2026-10-30T20:17:06.480Z
Action recommandée
Mettre à niveau vers la version 1.0.8 ou ultérieure, faire tourner les clés IAM persistantes et révoquer les sessions de rôle actives si nécessaire.
Sources
Priorisation DFS : P3 · 1 source(s).