CVE-2026-115418: inyección de código SQL en los controladores de recursos personalizados de consultas de bases de datos en Amazon Web Services (AWS)
ID de boletín: 2026-151-AWS
Alcance: AWS
Tipo de contenido: Importante (requiere atención)
Fecha de publicación: 26/10/2026 09:30 h PDT
Descripción:
El módulo @aws-cdk/aws-redshift-alpha del Cloud Development Kit (CDK) de AWS proporciona constructos experimentales que administran los usuarios, las tablas y los privilegios de Amazon Redshift. Identificamos la vulnerabilidad CVE-2026-115418, un problema que provocaba que los nombres de usuario, los comentarios o las contraseñas especialmente diseñados en estos constructos pudieran cambiar el código SQL que se ejecuta con los privilegios de superusuario de Amazon Redshift en el momento de la implementación, incluida la concesión de acceso a todos los usuarios del clúster. Para aprovechar este problema, es necesario poder influir en los valores de las propiedades de los constructos de la aplicación CDK.
Versiones afectadas: <2.274.0-alpha.0
Resolución:
Este problema se resolvió en la versión 2.274.0 de @aws-cdk/aws-redshift-alpha. Recomendamos actualizar a la versión más reciente y asegurarse de que cualquier código bifurcado o derivado se haya parcheado para incorporar las nuevas correcciones. Tras la actualización, revise las concesiones de tablas existentes a PUBLIC.
Soluciones alternativas:
Utilice únicamente valores confiables creados por desarrolladores para los nombres de usuario, los comentarios y las contraseñas en estos constructos y revise las concesiones de tablas existentes a PUBLIC.
Referencias:
Reconocimiento:
Agradecemos a Joseph Semaan por colaborar en este asunto a través del proceso coordinado de divulgación de vulnerabilidades.
Envíe un correo electrónico a aws-security@amazon.com si tiene alguna pregunta o inquietud sobre seguridad.