CVE-2026-107352: Faltan las comprobaciones de autorización en la gestión de solicitudes de la versión 3 del motor Amazon Athena
ID del boletín: Alcance de 2026-128-AWS
: Tipo de contenido de AWS:
Importante (requiere atención) Fecha de
publicación: 7 de octubre de 2026 a las 13:00 PDT
Descripción:
La falta de comprobaciones de autorización en la gestión de solicitudes de la versión 3 del motor Amazon Athena podría haber permitido a un usuario autenticado leer algunos metadatos de consultas (identificadores de cuentas de AWS y texto de sentencias SQL) de otras cuentas de AWS. AWS solucionó el problema el 1 de septiembre de 2026 y confirmó que no se accedió a los metadatos de los clientes. Los resultados de las consultas, las credenciales y los datos de Amazon S3 no se vieron afectados. No se requiere ninguna acción por parte del cliente.
Resolución:
Este problema se solucionó desde el punto de vista del servicio el 1 de septiembre de 2026.
Soluciones alternativas:
No hay ninguna solución alternativa disponible.
Referencias:
Reconocimiento:
Nos gustaría dar las gracias a Oren Yomtov, de Act Security, por colaborar en este tema a través del proceso coordinado de divulgación de vulnerabilidades.
Envíe un correo electrónico al aws-security@amazon.com si tiene alguna pregunta o inquietud sobre seguridad.