公告 ID： 2026-128-
AWS 范围：亚马逊云科技
内容类型：重要（需要注意）
发布日期：太平洋夏令时间   2026 年 7 月 10 日下午 13:00

描述：

Amazon Athena 引擎第 3 版请求处理中缺少授权检查可能允许经过身份验证的用户从其他 AWS 账户读取有限的查询元数据（AWS 账户标识符和 SQL 语句文本）。AWS 于 2026 年 9 月 1 日修复了该问题，并已确认未访问任何客户元数据。查询结果、凭证和 Amazon S3 数据未受到影响。无需客户采取任何行动。

解决方案：

此问题已于 2026 年 9 月 1 日在服务端得到解决。

临时措施：

目前没有可用的临时措施。

参考文献：

• CVE-2026-107352

致谢：

我们要感谢Act Security的奥伦·约姆托夫通过协调的漏洞披露流程在这个问题上进行合作。

如有任何安全问题或疑虑，请发送电子邮件至 aws-security@amazon.com  。