ID del boletín: 2026-136-AWS
Alcance: AWS
Tipo de contenido: Importante (requiere atención)
Fecha de publicación: 15/10/2026 09:30 h PDT

Descripción:

Amazon Neptune es un servicio de base de datos de gráficos completamente administrado. Identificamos la vulnerabilidad CVE-2026-110812, un problema en Apache TinkerPop relacionado con la funcionalidad Gremlin utilizada por Amazon Neptune. En determinadas condiciones, una entidad principal autenticada con permisos de plano de datos (consultas) de Neptune podría enviar una solicitud que haga que el motor de consultas procese entradas no confiables de forma insegura, lo que podría dar lugar a una actividad no deseada en el entorno del motor de consultas. Este problema se solucionó en las versiones del motor que se enumeran a continuación; recomendamos a los clientes que actualicen.

Versiones afectadas: >=1.2.0.0

Resolución:

Este problema se solucionó en las versiones 1.4.7.1, 1.4.8.1 y 1.5.0.0 del motor Amazon Neptune. Le recomendamos actualizar su clúster de base de datos de Amazon Neptune a la versión parcheada correspondiente a su línea de motor. Los clientes que tengan habilitada la actualización automática de versiones secundarias recibirán la actualización durante su próximo período de mantenimiento; los clientes que administren las versiones del motor de forma manual deberán realizar la actualización.

Soluciones alternativas:

Este problema requiere una entidad principal autenticada con acceso al plano de datos. Hasta que pueda realizar la actualización, siga las prácticas de privilegios mínimos y conceda los permisos de Neptune neptune-db (consulta) únicamente a las entidades principales de confianza. La solución recomendada es actualizar el clúster de base de datos a una versión parcheada del motor Neptune.

Referencias:

• CVE-2026-110812

Envíe un correo electrónico a aws-security@amazon.com  si tiene alguna pregunta o inquietud de seguridad.