CVE-2026-122266 Evasión de NetworkPolicy en aws-network-policy-agent de Amazon EKS
Un usuario adyacente autenticado podía eludir la aplicación de NetworkPolicy de ingress en pods co-locados mediante envenenamiento del mapa conntrack de eBPF con tramas AF_PACKET manipuladas. Se corrige actualizando al add-on administrado Amazon VPC CNI v1.22.3 o posterior, que incluye Network Policy Agent v1.3.7.
CVSS 3.1
- CVSS 4.06.3 · media
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 19
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
AWS aws-network-policy-agent
hasta antes de 1.3.7
AWS amazon-vpc-cni-k8s
hasta antes de 1.22.3
Qué hacer
- Verificá si usás aws-network-policy-agent y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 8.7 ALTA
CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N
- Vector de ataqueRed adyacente
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadNinguna
CVSS 4.0 · 6.3 MEDIA
CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:N/VC:N/VI:N/VA:N/SC:H/SI:H/SA:N
- Vector de ataqueRed adyacente
- Complejidad del ataqueBaja
- Requisitos del ataqueNinguno
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Ninguna
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Alta
- Integridad (sistemas posteriores)Alta
- Disponibilidad (sistemas posteriores)Ninguna
Descripción original
Improper isolation of shared resources in aws-network-policy-agent in Amazon EKS Network Policy Agent before 1.3.7 (VPC CNI before 1.22.3) might allow an authenticated adjacent user to bypass NetworkPolicy ingress enforcement on co-located pods via eBPF conntrack map poisoning using crafted AF_PACKET frames.
To remediate this issue, users should upgrade to Amazon VPC CNI Managed Add-on v1.22.3 or later (which includes Network Policy Agent v1.3.7).
Referencias (5)
- github.com/aws/aws-network-policy-agent/releases/tag/v1.3.7
- github.com/aws/amazon-vpc-cni-k8s/releases/tag/v1.22.3
- aws.amazon.com/security/security-bulletins/2026-170-aws/
- github.com/aws/aws-network-policy-agent/security/advisories/GHSA-mm5f-ggvx-hmvw
- github.com/aws/amazon-vpc-cni-k8s/security/advisories/GHSA-rp3x-m95q-87mx
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.