CVE-2026-107352 — Fehlende Autorisierungsprüfungen in der Amazon Athena-Engine Version 3-Anforderungsverarbeitung
Bulletin-ID:
2026-128-AWS-Umfang: AWS-Inhaltstyp
: Wichtig (erfordert Aufmerksamkeit)
Veröffentlichungsdatum: 10.07.2026, 13:00 Uhr PDT
Beschreibung:
Fehlende Autorisierungsprüfungen in der Anforderungsverarbeitung der Amazon Athena-Engine Version 3 hätten es einem authentifizierten Benutzer ermöglichen können, begrenzte Abfrage-Metadaten (AWS-Kontokennungen und SQL-Anweisungstext) von anderen AWS-Konten zu lesen. AWS hat das Problem am 1. September 2026 behoben und bestätigt, dass auf keine Kundenmetadaten zugegriffen wurde. Abfrageergebnisse, Anmeldeinformationen und Amazon S3-Daten waren nicht betroffen. Es ist keine Aktion des Kunden erforderlich.
Lösung:
Dieses Problem wurde dienstseitig am 1. September 2026 behoben.
Problemumgehungen:
Es gibt keine Umgehungslösung.
Referenzen:
Danksagung:
Wir möchten Oren Yomtov von Act Security für die Zusammenarbeit bei diesem Problem im Rahmen des koordinierten Prozesses zur Offenlegung von Sicherheitslücken danken.
Bitte senden Sie eine E-Mail an aws-security@amazon.com, wenn Sie Sicherheitsfragen oder Bedenken haben.