FICHE CVE

CVE-2026-103505

Publiée le 2026-10-01 · Dernière modification le 2026-10-02

🇫🇷 EN BREF

Les versions 3.1.0 à 3.4.2 du pilote AWS EFS CSI sont affectées par une faille dans la gestion des attributs de volume. Un utilisateur distant disposant de permissions de haut niveau pour créer des PersistentVolumes peut injecter des options de montage non autorisées en insérant des valeurs séparées par des virgules dans le champ `mounttargetipmap`. Cela nécessite un accès authentifié préalable à la gestion des volumes de votre cluster, mais l'exploitation réelle est simple à exécuter une fois ces permissions obtenues.

CVSS 4.06.9 MOYENNE

Type de faiblesse

CWE-88

Publiée2026-10-01

Dernière modification2026-10-02

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisÉlevés

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Élevée

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Improper neutralization of argument delimiters in the volume handling component in AWS EFS CSI Driver (aws-efs-csi-driver) v3.1.0 through v3.4.2 might allow remote authenticated users with PersistentVolume creation permissions to inject arbitrary mount options via comma-separated values in the mounttargetipmap volumeAttribute. To remediate this issue, users should upgrade to version v3.5.0 or later.