CVE-2026-115418 - Amazon Web Services（AWS）数据库查询自定义资源处理程序中的 SQL 注入
公告 ID： 2026-151-AWS
范围：AWS
内容类型：重要提示（需要注意）
发布日期：2026 年 10 月 26 日上午 9:30（太平洋夏令时）
描述：
AWS 云开发工具包（CDK）中的 @aws-cdk/aws-redshift-alpha 模块提供用于管理 Amazon Redshift 用户、表和权限的实验性构造。我们发现了 CVE-2026-115418 问题：这些构造中设置的用户名、注释或密码，如果经过精心设计，可以改变在部署时以 Amazon Redshift 超级用户权限执行的 SQL 语句，甚至可能导致向所有集群用户授予访问权限。利用此漏洞需要攻击者能够影响 CDK 应用程序中构造的属性值。
受影响的版本： <2.274.0-alpha.0
解决方案：
此问题已在 @aws-cdk/aws-redshift-alpha 版本 2.274.0 中得到解决。建议您升级到最新版本，并确保对所有分叉代码或衍生代码进行修补，以纳入新的修复程序。升级后，请检查授予 PUBLIC 角色的现有表权限。
临时措施：
在这些构造中，仅使用由开发者编写且可信的用户名、注释和密码值；同时，请检查授予 PUBLIC 角色的现有表权限。
参考：
致谢：
感谢 Joseph Semaan 通过协调漏洞披露流程就此问题与我们协作。
如有任何安全问题或疑虑，请发送电子邮件至 aws-security@amazon.com。