CVE-2026-118029 – Propriété non vérifiée de l’emplacement par défaut des résultats de requête Athena dans AWS SDK pour pandas
ID du bulletin : 2026-153-AWS
Portée : AWS
Type de contenu : Important (nécessite une attention particulière)
Date de publication : 28/10/2026 08 h 30 (PDT)
Description :
AWS SDK pour pandas (awswrangler) est une bibliothèque Python open source qui intègre pandas aux services de données AWS tels qu’Amazon Athena, Amazon S3 et AWS Glue. Nous avons identifié CVE-2026-118029 dans le module Athena, où la propriété non vérifiée de l’emplacement par défaut des résultats de requête pourrait permettre à un utilisateur distant de lire les résultats des requêtes Athena et de modifier les ensembles de résultats renvoyés à l’appelant via un compartiment S3 préalablement créé.
Versions concernées : awswrangler < 3.16.1
Résolution :
Ce problème a été résolu dans AWS SDK pour pandas, version 3.16.1, publiée le 8 mai 2026. Nous vous recommandons de passer à la dernière version et d’appliquer les nouveaux correctifs à tout code issu d’un fork ou dérivé.
Solutions de contournement :
Vérifiez que le compartiment de résultats Athena par défaut de chaque compte et de chaque région appartient à votre propre compte, et définissez un emplacement de résultats explicite ou appliquez une configuration de résultats de groupe de travail.
Références :
Remerciements :
Nous tenons à remercier Dan Gansel d’Upwind Security pour sa collaboration dans la résolution de ce problème, dans le cadre du processus coordonné de divulgation de vulnérabilité.
Veuillez envoyer un e-mail à aws-security@amazon.com si vous avez des questions ou des préoccupations relatives à la sécurité.