公告 ID： 2026-153-AWS
范围：AWS
内容类型：重要提示（需要注意）
发布日期：2026 年 10 月 28 日上午 8:30（太平洋夏令时）

描述：

AWS SDK for pandas（awswrangler）是一个开源 Python 库，该库将 pandas 与 Amazon Athena、Amazon S3 和 AWS Glue 等 AWS 数据服务集成。我们在其 Athena 模块中发现了 CVE-2026-118029 问题：由于系统未对默认查询结果存储位置的所有权进行验证，远程用户可能利用预先创建的 S3 存储桶读取 Athena 查询结果，甚至篡改返回给调用方的结果集。

受影响的版本： awswrangler < 3.16.1

解决方案：

此问题已在 2026 年 5 月 8 日发布的 AWS SDK for pandas 版本 3.16.1 中得到解决。建议您升级到最新版本，并确保对所有分叉代码或衍生代码进行修补，以纳入新的修复程序。

临时措施：

核实各账户和区域内默认的 Athena 结果存储桶是否归您所有；同时，建议明确指定结果存储位置，或强制执行工作组结果配置。

参考：

• CVE-2026-118029
• GHSA-34f4-24c9-rgcm

致谢：

感谢 Upwind Security 的 Dan Gansel 通过协调漏洞披露流程就此问题与我们协作。

如有任何安全问题或疑虑，请发送电子邮件至 aws-security@amazon.com。