CVE-2026-115418 – Injection SQL dans les gestionnaires de ressources personnalisés de requêtes de base de données dans Amazon Web Services (AWS)
ID du bulletin : 2026-151-AWS
Portée : AWS
Type de contenu : Important (nécessite une attention particulière)
Date de publication : 26/10/2026 09 h 30 (PDT)
Description :
Le module AWS Cloud Development Kit (CDK) @aws-cdk/aws-redshift-alpha fournit des structures expérimentales qui gèrent les utilisateurs, les tables et les privilèges d’Amazon Redshift. Nous avons identifié CVE-2026-115418, un problème où des noms d’utilisateur, des commentaires ou des mots de passe spécialement conçus définis dans ces structures pouvaient modifier le code SQL qui s’exécute avec les privilèges de superutilisateur Amazon Redshift lors du déploiement, notamment en accordant l’accès à tous les utilisateurs du cluster. L’exploitation de ce problème nécessite la capacité d’influencer les valeurs des propriétés de structure de l’application CDK.
Versions concernées : <2.274.0-alpha.0
Résolution :
Ce problème a été résolu dans la version 2.274.0 de @aws-cdk/aws-redshift-alpha. Nous vous recommandons de passer à la dernière version et d’appliquer les nouveaux correctifs à tout code forké ou dérivé. Après la mise à niveau, vérifiez les autorisations accordées à PUBLIC sur les tables existantes.
Solutions de contournement :
Utilisez uniquement des valeurs fiables créées par les développeurs pour les noms d’utilisateur, les commentaires et les mots de passe dans ces structures, et vérifiez les autorisations accordées à PUBLIC sur les tables existantes.
Références :
Remerciements :
Nous tenons à remercier Joseph Semaan pour sa collaboration dans la résolution de ce problème, dans le cadre du processus coordonné de divulgation de vulnérabilité.
Veuillez envoyer un e-mail à aws-security@amazon.com si vous avez des questions ou des préoccupations relatives à la sécurité.