Amazon EKS aws-network-policy-agent CVE-2026-86831 보안 이슈, 교차 네임스페이스 NetworkPolicy 우회 가능성

AWS는 Amazon EKS의 Network Policy Agent에서 파드 식별자 생성 방식의 모호성으로 인해 서로 다른 네임스페이스의 파드가 동일하게 인식될 수 있는 보안 이슈를 알렸다. Kubernetes 환경에서 네임스페이스 분리는 기본적인 정책 경계인 만큼, EKS에서 네트워크 정책을 사용하는 운영팀은 영향 버전 확인과 에이전트 업데이트 여부를 우선 점검할 필요가 있다.

문제의 핵심은 파드 식별자 충돌 가능성

이번 이슈는 aws-network-policy-agent가 파드를 구분할 때 이름과 네임스페이스를 하이픈으로 이어 붙여 식별자를 만드는 방식에서 비롯됐다. 하이픈은 Kubernetes 파드 이름과 네임스페이스 이름 모두에 사용할 수 있어, 서로 다른 네임스페이스의 파드가 결과적으로 같은 식별자로 처리될 가능성이 있다는 설명이다.

이 경우 정책 적용 대상이 잘못 매핑되면 cross-namespace 형태의 NetworkPolicy 우회로 이어질 수 있다. 네트워크 분리를 전제로 워크로드를 운영하는 환경에서는 멀티테넌트 클러스터, 개발·운영 분리, 고객별 네임스페이스 분리 같은 구조에서 특히 민감하게 봐야 할 사안이다.

영향 범위와 우선 확인 대상

원문 기준 영향 범위는 Amazon VPC CNI Managed Add-on 1.14.0<1.22.3, 그리고 Network Policy Agent v1.4.0 미만이다. 따라서 EKS에서 네트워크 정책 기능을 활성화해 사용 중인 클러스터라면 먼저 현재 사용 중인 에이전트 및 애드온 버전을 확인하는 것이 출발점이다.

서버호스팅이나 코로케이션 환경에서 자체 Kubernetes 플랫폼을 운영하더라도, 해당 이슈는 일반 Kubernetes 전체가 아니라 Amazon EKS의 aws-network-policy-agent와 연관된 공지다. 운영 자산 목록에서 EKS 사용 구간과 비EKS 구간을 구분해 점검 대상을 좁히는 것이 효율적이다.

운영자가 바로 할 수 있는 점검 항목

첫째, EKS 클러스터별로 Network Policy Agent 버전이 v1.4.0 미만인지 확인해야 한다. 둘째, Amazon VPC CNI Managed Add-on이 제시된 영향 범위인 1.14.0<1.22.3에 해당하는지도 함께 확인할 필요가 있다.

셋째, 표준 배포 템플릿과 내부 IaC, 애드온 기본값, 골든 이미지에 구버전 설정이 남아 있지 않은지 점검해야 한다. 넷째, 네임스페이스와 파드 이름 규칙이 유사해 식별자 혼동 가능성을 키우는 운영 패턴이 있는지 검토하면 후속 재발 방지에 도움이 된다.

국내와 일본 리전에서 EKS를 함께 운영하는 경우에도 이번 공지의 핵심은 리전 차이보다 클러스터별 애드온 버전 상태다. 따라서 리전 단위보다 클러스터 자산 단위로 영향을 식별하고, 변경 창구에 맞춰 순차 업데이트 계획을 잡는 편이 실무에 가깝다.

핵심 포인트

• CVE-2026-86831은 Amazon EKS aws-network-policy-agent의 파드 식별자 생성 방식 문제와 관련된다.
• 서로 다른 네임스페이스의 파드가 동일 식별자로 인식돼 cross-namespace NetworkPolicy 우회 가능성이 제기됐다.
• 영향 범위는 Amazon VPC CNI Managed Add-on 1.14.0<1.22.3 및 Network Policy Agent v1.4.0 미만이다.
• 운영팀은 EKS 클러스터별 애드온·에이전트 버전 확인과 업데이트 계획 수립이 필요하다.