Bulletin-ID: 2026-136-AWS
Bereich: AWS
Inhaltstyp: Wichtig (erfordert Aufmerksamkeit)
Veröffentlichungsdatum: 15.10.2026 09:30 Uhr PDT

Beschreibung:

Amazon Neptune ist ein vollständig verwalteter Graphdatenbankservice. Wir haben CVE-2026-110812 identifiziert, ein Problem in Apache TinkerPop im Zusammenhang mit der von Amazon Neptune verwendeten Gremlin-Funktionalität. Unter bestimmten Bedingungen könnte ein authentifizierter Principal mit Berechtigungen für die Neptune-Datenebene (Abfrage) eine Anfrage einreichen, die dazu führt, dass die Abfrage-Engine nicht vertrauenswürdige Eingaben auf unsichere Weise verarbeitet, was zu unbeabsichtigten Aktivitäten in der Abfrage-Engine-Umgebung führen könnte. Dieses Problem wurde in den unten aufgeführten Engine-Versionen behoben. Wir empfehlen unseren Kunden, ein Upgrade durchzuführen.

Betroffene Versionen: >=1.2.0.0

Lösung:

Dieses Problem wurde in den Amazon-Neptune-Engine-Versionen 1.4.7.1, 1.4.8.1 und 1.5.0.0 behoben. Wir empfehlen, Ihr Amazon-Neptune-DB-Cluster auf die entsprechende gepatchte Version für Ihre Engine-Reihe zu aktualisieren. Kunden, bei denen das automatische Nebenversions-Upgrade aktiviert ist, erhalten das Update im nächsten Wartungsfenster. Kunden, die Engine-Versionen manuell verwalten, sollten das Upgrade durchführen.

Problemumgehungen:

Für dieses Problem ist ein authentifizierter Prinzipal mit Zugriff auf die Datenebene erforderlich. Bis Sie ein Upgrade durchführen können, folgen Sie den Verfahren mit den geringsten Berechtigungen und gewähren Sie Neptune neptune-db (query)-Berechtigungen nur vertrauenswürdigen Prinzipale. Das Upgrade Ihres DB-Clusters auf eine gepatchte Neptune-Engine-Version ist die empfohlene Abhilfemaßnahme.

Referenzen:

• CVE-2026-110812

Bei Fragen oder Bedenken zum Thema Sicherheit wenden Sie sich bitte per E-Mail an aws-security@amazon.com .