ID du bulletin : 2026-136-AWS
Portée : AWS
Type de contenu : important (nécessite une attention particulière)
Date de publication : 15/10/2026 09:30 PDT (heure avancée du Pacifique)

Description :

Amazon Neptune est un service de bases de données orientées graphe entièrement géré. Nous avons identifié CVE-2026-110812, un problème dans Apache TinkerPop lié à la fonctionnalité Gremlin utilisée par Amazon Neptune. Dans certaines conditions, un principal authentifié disposant des autorisations Neptune sur le plan de données (requête) pourrait soumettre une requête qui amène le moteur de requêtes à traiter des entrées non fiables de manière non sécurisée, ce qui pourrait entraîner une activité non prévue dans l’environnement du moteur de requêtes. Ce problème a été résolu dans les versions du moteur répertoriées ci-dessous ; nous recommandons aux clients de procéder à une mise à niveau.

Versions concernées : >=1.2.0.0

Résolution :

Ce problème a été résolu dans les versions 1.4.7.1, 1.4.8.1 et 1.5.0.0 du moteur Amazon Neptune. Nous vous recommandons de mettre à niveau votre cluster de bases de données Amazon Neptune vers la version corrigée correspondante pour votre gamme de moteurs. Les clients pour lesquels la mise à niveau automatique des versions mineures est activée recevront la mise à jour lors de leur prochaine fenêtre de maintenance ; les clients qui gèrent les versions du moteur manuellement doivent effectuer la mise à niveau.

Solutions de contournement :

Ce problème nécessite un principal authentifié avec accès au plan de données. Jusqu’à ce que vous puissiez effectuer la mise à niveau, suivez les pratiques de moindre privilège et accordez des autorisations Neptune neptune-db (requête) uniquement aux principaux de confiance. La mise à niveau de votre cluster de bases de données vers une version corrigée du moteur Neptune est la solution recommandée.

Références :

• CVE-2026-110812

Veuillez envoyer un e-mail à aws-security@amazon.com pour toute question ou préoccupation relative à la sécurité.