Amazon EKS Network Policy Agent 高危漏洞可繞過同節點 Pod 入站政策
情報摘要
AWS 維護的安全公告確認 CVE-2026-122266：啟用 NetworkPolicy 執行的 Amazon EKS 叢集，在特定情況下，已驗證且位於相鄰攻擊面的使用者可繞過同節點共置 Pod 的入站政策，包括其他 namespace 的 Pod。修復版本為 aws-network-policy-agent 1.3.7 及 Amazon VPC CNI 1.22.3；維護方評為 High，CVSS 3.1 為 8.7 分。
aws-network-policy-agent 是 Amazon VPC CNI 的開源元件，負責在 EKS 執行 Kubernetes NetworkPolicy。維護方指出，工作負載送出的特製資料框可能污染共用 eBPF 連線追蹤狀態，使同節點共置 Pod 的 ingress 規則不再被執行。
影響限於公告所述的已驗證相鄰使用者與共置 Pod 情境，可跨 namespace 存取原應受入站政策保護的 Pod。公告表示此問題不影響 agent 或 Pod 的可用性；不能將它擴大描述為所有 EKS 網絡規則全面失效。
GHSA 公告日期為 2026 年 11 月 4 日，本頁編輯日期為香港時間 11 月 5 日。agent 1.3.7 及 VPC CNI 1.22.3 的正式版本早於本次公告發布，修補門檻不代表它們是目前最新版本。
受影響產品
Amazon EKS 的 aws-network-policy-agent 早於 1.3.7；Amazon VPC CNI Managed Add-on 早於 1.22.3。影響啟用 NetworkPolicy 執行的叢集。
適用讀者
管理 Amazon EKS、Amazon VPC CNI 與 Kubernetes NetworkPolicy 的平台及資安團隊，以及維護相關 fork 或衍生程式碼的開發者。
建議行動
檢查叢集是否啟用 NetworkPolicy，並盤點實際部署的 agent 與 VPC CNI Managed Add-on 版本。依維護方建議升級至相容的最新版本，確認已包含 agent 1.3.7 及 VPC CNI 1.22.3 的修補；fork 或衍生程式碼亦須納入修正。升級後驗證各節點的元件版本及預期的入站隔離效果。使用 SageMaker HyperPod on EKS 的團隊須另留意 VPC CNI 1.22.3 發行說明，該文件因另一項 Enhanced Subnet Discovery 問題建議升至 1.22.4。
風險評級依據
aws/aws-network-policy-agent 的 GHSA-mm5f-ggvx-hmvw 評為 High，CVSS 3.1 基本分數 8.7，向量為 CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N。此評分包含相鄰攻擊面及低權限前提，不代表未經驗證的互聯網使用者可直接利用。
解讀限制
本頁以 AWS 維護的 GitHub 安全公告及正式發行說明為依據。未獨立取得 AWS 網站的 2026-170-AWS 公告正文，因此不轉述其精確發布時間、Important 標籤或是否存在暫緩方案。
所核對的官方來源未聲稱已發生野外利用，也未提供香港受影響部署或個案證據；不能推定香港客戶必然受影響。
公告未提供足以判定個別叢集暴露程度的全部部署資料；應按實際版本、NetworkPolicy 設定及工作負載共置情況評估。
資料來源
本機收藏只保存在此瀏覽器，不會自動同步或分享。