CVE-2026-115418 - Iniezione SQL nei gestori delle risorse personalizzate database-query in Amazon Web Services (AWS)
ID Bollettino: 2026-151-AWS
Ambito: AWS
Tipo di contenuto: Importante (richiede attenzione)
Data di pubblicazione: 26/10/2026 09:30 PDT
Descrizione:
Il modulo AWS Cloud Development Kit (CDK) @aws-cdk/aws-redshift-alpha fornisce costrutti sperimentali che gestiscono utenti, tabelle e privilegi di Amazon Redshift. Abbiamo identificato CVE-2026-115418, un problema per cui nomi utente, commenti o password appositamente predisposti e impostati in questi costrutti potrebbero modificare il codice SQL eseguito con privilegi di superuser di Amazon Redshift in fase di distribuzione, inclusa la concessione dell’accesso a tutti gli utenti del cluster. Per sfruttare questa vulnerabilità è necessario poter influenzare i valori delle proprietà dei costrutti dell’applicazione CDK.
Versioni interessate: <2.274.0-alpha.0
Risoluzione:
Questo problema è stato risolto nella versione 2.274.0 di @aws-cdk/aws-redshift-alpha. Per incorporare le nuove correzioni, consigliamo di eseguire l’aggiornamento alla versione più recente e di assicurarsi che siano state applicate le patch a qualsiasi codice derivato o di cui è stato eseguito il fork. Dopo l’aggiornamento, rivedi le concessioni delle tabelle esistenti a PUBLIC.
Soluzioni alternative:
Utilizza solo valori affidabili e creati da sviluppatori per nomi utente, commenti e password in questi costrutti e rivedi le concessioni delle tabelle esistenti a PUBLIC.
Riferimenti:
Ringraziamenti:
Ringraziamo Joseph Semaan per aver collaborato alla risoluzione di questo problema attraverso il processo di divulgazione coordinata delle vulnerabilità.
Invia un’e-mail a aws-security@amazon.com per eventuali domande o dubbi sulla sicurezza.