公告 ID： 2026-136-AWS
范围：亚马逊云科技
内容类型：重要提示（需要注意）
发布日期：2026 年 10 月 15 日上午 9:30（太平洋夏令时）

描述：

Amazon Neptune 是一项完全托管的图形数据库服务。我们发现了 CVE-2026-110812，这是 Apache TinkerPop 中一个与 Amazon Neptune 所使用的 Gremlin 功能相关的问题。在特定条件下，拥有 Neptune 数据面板（查询）权限的、经过身份验证的主体可能会提交请求，导致查询引擎以不安全的方式处理不可信的输入，进而可能在查询引擎环境中引发非预期的操作。该问题已在下文列出的引擎版本中得到解决；建议客户进行升级。

受影响的版本：>=1.2.0.0 

解决方案：

该问题已在 Amazon Neptune 引擎版本 1.4.7.1、1.4.8.1 和 1.5.0.0 中得到解决。建议您将 Amazon Neptune 数据库集群升级至对应引擎系列的已修复版本。已启用自动次要版本升级功能的客户将在下一次维护窗口期间收到更新；手动管理引擎版本的客户则应自行执行升级。

临时措施：

此问题需要具有数据面板访问权限且经过身份验证主体触发。在升级之前，请遵循最低权限原则，仅向可信主体授予 Neptune neptune-db（查询）权限。将数据库集群升级至已修复的 Neptune 引擎版本是推荐的补救措施。

参考：

• CVE-2026-110812

如有任何安全问题或疑虑，请发送电子邮件至 aws-security@amazon.com。