CVE-2026-118029 – Nicht verifizierte Eigentümerschaft des standardmäßigen Speicherorts für Athena-Abfrageergebnisse im AWS SDK for pandas
Bulletin-ID: 2026-153-AWS
Geltungsbereich: AWS
Inhaltstyp: Wichtig (erfordert Aufmerksamkeit)
Veröffentlichungsdatum: 28.10.2026 08:30 Uhr PDT
Beschreibung:
Das AWS SDK for pandas (awswrangler) ist eine Open-Source-Python-Bibliothek, die pandas in AWS-Datenservices wie Amazon Athena, Amazon S3 und AWS Glue integriert. Wir haben CVE-2026-118029 im Athena-Modul identifiziert, wo eine nicht verifizierte Eigentümerschaft des Standardspeicherorts für Abfrageergebnisse es einem Remote-Benutzer ermöglichen könnte, Athena-Abfrageergebnisse zu lesen und Ergebnismengen zu manipulieren, die über einen vorab erstellten S3-Bucket an den Aufrufer zurückgegeben wurden.
Betroffene Versionen: awswrangler < 3.16.1
Lösung:
Dieses Problem wurde in AWS SDK for pandas, Version 3.16.1, veröffentlicht am 8. Mai 2026, behoben. Wir empfehlen, ein Upgrade auf die neueste Version vorzunehmen und dafür zu sorgen, dass geforkter oder derivativer Code gepatcht wird, damit die neuen Korrekturen enthalten sind.
Problemumgehungen:
Stellen Sie sicher, dass der standardmäßige Athena-Ergebnis-Bucket in jedem Konto und jeder Region Ihrem eigenen Konto gehört, und legen Sie einen expliziten Speicherort für Ergebnisse fest oder erzwingen Sie eine Konfiguration für Arbeitsgruppenergebnisse.
Referenzen:
Bestätigung:
Wir möchten Dan Gansel von Upwind Security für die Zusammenarbeit bei diesem Problem im Rahmen des koordinierten Prozesses zur Offenlegung von Schwachstellen danken.
Bei Fragen oder Bedenken zum Thema Sicherheit wenden Sie sich bitte per E-Mail an aws-security@amazon.com .