CVE-2026-110812 - Deserializzazione di dati non attendibili nel percorso di importazione dei grafi Gremlin in Amazon Neptune
ID Bollettino: 2026-136-AWS
Ambito: AWS
Tipo di contenuto: Importante (richiede attenzione)
Data di pubblicazione: 15/10/2026 09:30 PDT
Descrizione:
Amazon Neptune è un servizio di database a grafo completamente gestito. Abbiamo identificato CVE-2026-110812, un problema in Apache TinkerPop relativo alla funzionalità Gremlin utilizzata da Amazon Neptune. In determinate condizioni, un principale autenticato con autorizzazioni del piano dati (query) di Neptune potrebbe inviare una richiesta che induce il motore di query a elaborare input non attendibili in modo non sicuro, con possibili attività non previste all’interno dell’ambiente del motore di query. Questo problema è stato risolto nelle versioni del motore elencate di seguito; consigliamo ai clienti di effettuare l’aggiornamento.
Versioni interessate: >=1.2.0.0
Risoluzione:
Questo problema è stato risolto nelle versioni del motore Amazon Neptune 1.4.7.1, 1.4.8.1 e 1.5.0.0. Consigliamo di aggiornare il cluster Amazon Neptune DB alla versione con patch corrispondente alla linea di versioni del motore in uso. I clienti che hanno abilitato l’aggiornamento automatico delle versioni secondarie riceveranno l’aggiornamento durante la prossima finestra di manutenzione, mentre quelli che gestiscono manualmente le versioni del motore devono eseguire l’aggiornamento.
Soluzioni alternative:
Questo problema richiede un principale autenticato con accesso al piano dati. Fino a quando non sarà possibile eseguire l’aggiornamento, seguire le best practice del privilegio minimo e concedere le autorizzazioni neptune-db (query) di Neptune solo ai principali attendibili. L’aggiornamento del cluster DB a una versione del motore Neptune con patch è la soluzione consigliata.
Riferimenti:
Invia un’e-mail a aws-security@amazon.com per eventuali domande o dubbi sulla sicurezza.