CVE-2026-118029: propiedad no verificada de la ubicación predeterminada de los resultados de la consulta de Athena en el SDK de AWS para pandas
ID de boletín: 2026-153-AWS
Alcance: AWS
Tipo de contenido: Importante (requiere atención)
Fecha de publicación: 28/10/2026 08:30 h PDT
Descripción:
El SDK de AWS para pandas (awswrangler) es una biblioteca de Python de código abierto que integra pandas con los servicios de datos de AWS, como Amazon Athena, Amazon S3 y AWS Glue. Identificamos la vulnerabilidad CVE-2026-118029 en el módulo de Athena, donde la propiedad no verificada de la ubicación predeterminada de los resultados de la consulta podría permitir a un usuario remoto leer los resultados de las consultas de Athena y manipular los conjuntos de resultados devueltos al solicitante a través de un bucket de S3 creado previamente.
Versiones afectadas: awswrangler < 3.16.1
Resolución:
Este problema se ha solucionado en la versión 3.16.1 del SDK de AWS para pandas, publicada el 8 de mayo de 2026. Recomendamos actualizar a la versión más reciente y asegurarse de que cualquier código bifurcado o derivado se haya parcheado para incorporar las nuevas correcciones.
Soluciones alternativas:
Compruebe que el bucket de resultados predeterminado de Athena en cada cuenta y región pertenezca a su propia cuenta, y establezca una ubicación de resultados explícita o aplique una configuración de resultados para grupos de trabajo.
Referencias:
Reconocimiento:
Nos gustaría dar las gracias a Dan Gansel de Upwind Security por colaborar en este asunto a través del proceso coordinado de divulgación de vulnerabilidades.
Envíe un correo electrónico a aws-security@amazon.com si tiene alguna pregunta o inquietud sobre seguridad.