FICHE CVE

CVE-2026-6437

Publiée le 2026-04-17 · Dernière modification le 2026-10-20

🇫🇷 EN BREF

Le pilote AWS EFS CSI est affecté par une faille qui permet à un attaquant d'injecter des options de montage non autorisées dans un volume de système de fichiers. Pour exploiter cette vulnérabilité, un utilisateur doit déjà disposer de permissions administratives de haut niveau permettant de créer des PersistentVolumes au sein du cluster. Une fois ces conditions réunies, il peut déclencher l'injection à distance sans aucune autre interaction de l'utilisateur.

CVSS 4.06.9 MOYENNE

Type de faiblesse

CWE-88

Publiée2026-04-17

Dernière modification2026-10-20

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisÉlevés

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Élevée

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Improper neutralization of argument delimiters in the volume handling component in AWS EFS CSI Driver (aws-efs-csi-driver) before v3.0.1 allows remote authenticated users with PersistentVolume creation permissions to inject arbitrary mount options via comma injection. To remediate this issue, users should upgrade to version v3.0.1