AWSは11月4日13:30（PST）、セキュリティ公報2026-170-AWSでCVE-2026-122266を公開した。対象はAmazon VPC CNIのオープンソース部品であるaws-network-policy-agentで、EKS上のKubernetes NetworkPolicyを適用するコンポーネントだ。
不具合は、共有しているeBPFの接続追跡状態が十分に分離されていない点にある。AWSの説明では、認証済みの隣接利用者が、同じノードにいる別のPodに対するNetworkPolicyのingress制御を迂回できる可能性がある。影響を受けるのは、エージェント1.3.7未満と、Amazon VPC CNIのマネージドアドオン1.22.3未満だ。
修正はaws-network-policy-agent 1.3.7と、amazon-vpc-cni-k8s 1.22.3に入っている。回避策はなく、最新版への更新が案内されている。フォークや派生実装を自前で持っている場合は、同じ修正を取り込む必要がある。追跡用の識別子としてGHSA-mm5f-ggvx-hmvwも示されている。
NetworkPolicyをテナント分離や管理系Podの保護に使っているEKSクラスタでは、ノードに入っているエージェントと、マネージドアドオンのバージョンを先に確認する。アドオンの番号だけ上げても、自前でピンしているエージェントが古いままなら対象のままだ。同居を許しているノードでは、ingressの拒否が接続追跡の共有状態を通じて期待どおりに効かない余地がある。バージョンの確認は、クラスタのアドオン画面と、ノード上のイメージの両方で行う。