AWS corrige Kinesis Producer Library: las versiones antiguas exponían credenciales

AWS publicó CVE-2026-119117 para Amazon Kinesis Producer Library for Java (KPL), una biblioteca cliente que se ejecuta dentro de la aplicación del usuario y utiliza las credenciales AWS disponibles para ella. En las versiones afectadas, esas credenciales pueden quedar expuestas a otros usuarios locales del mismo host por dos caminos: los logs si el logger del proceso nativo está en nivel DEBUG, y la lista de argumentos con la que se inicia ese proceso, incluso aunque los logs no estén en DEBUG. No es una vulnerabilidad de acceso remoto por sí sola; el riesgo depende de quién más pueda inspeccionar el host, los procesos o sus registros.

-SecureCrew dice: un secreto hexificado sigue siendo un secreto; el alfabeto distinto no lo convierte en una medida de seguridad.-

Dos lugares distintos donde buscar la exposición

La primera ruta pasa por los registros. Cuando el logger Daemon está configurado en DEBUG, KPL puede escribir las credenciales resueltas para la aplicación en un mensaje de inicio del proceso nativo, en forma codificada. Eso puede dejar material sensible en archivos de log y en sistemas que los reciben; la codificación no es cifrado, y los escáneres de secretos podrían no reconocer el valor si esperan claves en texto plano. AWS recomienda fijar ese logger en INFO o un nivel superior mientras se prepara la actualización, filtrar o redactar los mensajes afectados y revisar los logs ya almacenados.

La segunda ruta es independiente del nivel de log: las credenciales se pasan como argumentos al proceso hijo nativo, donde pueden ser leídas por usuarios locales con acceso suficiente al sistema. Cambiar el nivel DEBUG reduce una de las vías, pero no elimina esta otra. Tampoco basta con mirar el código de logging de la aplicación principal: el nombre del logger relevante depende de la línea de KPL y la biblioteca tiene un proceso auxiliar con su propia configuración. El advisory de GitHub asigna CVSS 3.1 de 6,5 y describe un escenario local con privilegios bajos; no lo presenta como ejecución remota ni como acceso anónimo desde Internet.

-SecureCrew dice: bajar el volumen del logger ayuda con el papel; no hace desaparecer lo que ya salió por la puerta del proceso.-

Qué versiones corregir y cómo cerrar el incidente

Las versiones afectadas dependen del artefacto Maven. com.amazonaws:amazon-kinesis-producer está afectado hasta 0.15.12 inclusive; software.amazon.kinesis:amazon-kinesis-producer lo está antes de 1.0.8. El arreglo está en la versión 1.0.8 o posterior del segundo artefacto. Para instalaciones de la rama 0.x, AWS indica migrar al artefacto actual y actualizar la dependencia; no basta con cambiar una propiedad de logging y dar el caso por cerrado.

Actualizar la biblioteca es solo el inicio de la respuesta si una versión afectada ya ejecutó en un host donde otras cuentas podían leer procesos o logs. AWS recomienda rotar claves IAM de larga duración, revocar sesiones de rol activas cuando proceda, retirar o redactar los registros expuestos y revisar quién podía acceder a ellos. Rotar una credencial antigua en el gestor no elimina una copia que ya quedó en un archivo; hay que invalidarla en el servicio que la emitió. Para despliegues posteriores, el fabricante recomienda credenciales temporales de roles IAM y permisos mínimos sobre el stream y el espacio de métricas que realmente necesita el productor.

-SecureCrew dice: la rotación no es una ceremonia de cambio de contraseña; invalida la copia que pudo escapar.-

El orden de trabajo importa: inventariar ambos nombres de paquete y sus versiones, actualizar a 1.0.8 o posterior, revisar archivos y destinos de logs generados por versiones vulnerables y rotar o revocar las credenciales asociadas. En el corto plazo, fijar explícitamente el logger Daemon en INFO o superior y redactar los mensajes reduce el riesgo futuro por la ruta de logs, pero AWS aclara que ninguna configuración elimina los argumentos de proceso en las versiones afectadas. La biblioteca vive en la cuenta del cliente; que el destino sea Amazon Kinesis no significa que AWS pueda actualizar el JAR de cada aplicación desplegada.

Diccionario de la Crew

KPL — biblioteca Java que agrupa y publica registros de una aplicación en Amazon Kinesis Data Streams.
DEBUG — nivel de registro detallado que puede incluir valores internos usados para diagnosticar el proceso.
IAM — sistema de AWS para definir identidades, credenciales y permisos sobre recursos.
CVSS — escala de gravedad técnica; debe leerse junto con el vector y el contexto de exposición.