CVE-2026-115418 – SQL-Injektion in die benutzerdefinierten Ressourcenhandler für Datenbankabfragen in Amazon Web Services (AWS)
Bulletin-ID: 2026-151-AWS
Geltungsbereich: AWS
Inhaltstyp: Wichtig (erfordert Aufmerksamkeit)
Veröffentlichungsdatum: 26.10.2026 09:30 Uhr PDT
Beschreibung:
Das Modul AWS Cloud Development Kit (CDK) @aws-cdk/aws-redshift-alpha bietet experimentelle Konstrukte zur Verwaltung von Amazon-Redshift-Benutzern, -Tabellen und -Rechten. Wir haben CVE-2026-115418 identifiziert, ein Problem, bei dem speziell präparierte Benutzernamen, Kommentare oder Passwörter, die in diesen Konstrukten festgelegt sind, das SQL ändern könnten, das bei der Bereitstellung mit Amazon-Redshift-Superuser-Rechten ausgeführt wird, einschließlich der Gewährung des Zugriffs auf alle Cluster-Benutzer. Um das Problem auszunutzen, müssen die Werte der Konstrukteigenschaften der CDK-Anwendung beeinflusst werden können.
Betroffene Versionen: <2.274.0-alpha.0
Lösung:
Dieses Problem wurde in @aws-cdk/aws-redshift-alpha Version 2.274.0 behoben. Wir empfehlen, ein Upgrade auf die neueste Version vorzunehmen und dafür zu sorgen, dass geforkter oder derivativer Code gepatcht wird, damit die neuen Korrekturen enthalten sind. Überprüfen Sie nach dem Upgrade die bestehenden Tabellenberechtigungen für PUBLIC.
Problemumgehungen:
Verwenden Sie in diesen Konstrukten nur vertrauenswürdige, vom Entwickler verfasste Werte für Benutzernamen, Kommentare und Passwörter und überprüfen Sie die vorhandenen Tabellenberechtigungen für PUBLIC.
Referenzen:
Bestätigung:
Wir möchten Joseph Semaan für die Zusammenarbeit bei diesem Problem im Rahmen des koordinierten Prozesses zur Offenlegung von Schwachstellen danken.
Bei Fragen oder Bedenken zum Thema Sicherheit wenden Sie sich bitte per E-Mail an aws-security@amazon.com .