CVE-2026-118029 - Mancata verifica della proprietà della posizione predefinita dei risultati delle query di Athena in AWS SDK per pandas
ID Bollettino: 2026-153-AWS
Ambito: AWS
Tipo di contenuto: Importante (richiede attenzione)
Data di pubblicazione: 28/10/2026 08:30 PDT
Descrizione:
AWS SDK for pandas (awswrangler) è una libreria Python open source che integra pandas con i servizi di dati AWS come Amazon Athena, Amazon S3 e AWS Glue. Abbiamo identificato CVE-2026-118029 nel modulo Athena, in cui la mancata verifica della proprietà della posizione predefinita dei risultati delle query potrebbe consentire a un utente remoto di leggere i risultati delle query di Athena e manomettere i set di risultati restituiti al chiamante tramite un bucket S3 creato in precedenza.
Versioni interessate: awswrangler < 3.16.1
Risoluzione:
Questo problema è stato risolto in AWS SDK for pandas versione 3.16.1, rilasciata l’8 maggio 2026. Per incorporare le nuove correzioni, consigliamo di eseguire l’aggiornamento alla versione più recente e di assicurarsi che siano state applicate le patch a qualsiasi codice derivato o di cui è stato eseguito il fork.
Soluzioni alternative:
Verificare che il bucket predefinito per i risultati di Athena in ciascun account e Regione appartenga al proprio account e definire una posizione esplicita per i risultati oppure applicare obbligatoriamente una configurazione dei risultati a livello di workgroup.
Riferimenti:
Ringraziamenti:
Ringraziamo Dan Gansel di Upwind Security per aver collaborato alla risoluzione di questo problema attraverso il processo di divulgazione coordinata delle vulnerabilità.
Invia un’e-mail a aws-security@amazon.com per eventuali domande o dubbi sulla sicurezza.