CVE-2026-18428 – OpenSearch SQL プラグイン – 非同期クエリ検証バイパス
速報 ID: 2026-081-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
発行日: 2026 年 8 月 13 日 午後 10 時 30 分 (PDT)
説明:
OpenSearch SQL プラグインは、Apache Spark を介した外部データソースとの直接クエリ統合を含む、OpenSearch クラスターで SQL および PPL クエリ機能を有効にするプラグインです。Flint 拡張クエリハンドラーが十分な制限なしに SQL クエリを検証する問題が存在し、非同期クエリにアクセスできるユーザーがダイレクトクエリエンドポイントを介して SQL 文法拒否リストをバイパスする可能性があります。
影響を受ける製品とバージョン:
OpenSearch SQL プラグイン (オープンソース、セルフマネージド):
Amazon OpenSearch Service (AWS Managed):
- 影響を受けるのは: v2.13 から v3.5
- 修正済み: v2.13 から v3.5 (サービスソフトウェアアップデート経由)
解決方法:
OpenSearch (オープンソース) では、この問題は OpenSearch SQL プラグインのバージョン 3.7 と 2.19.6 で解決されています。最新バージョンにアップグレードし、フォークしたコードや派生コードにパッチを適用して新しい修正を反映させることをお勧めします。
Amazon OpenSearch Service (マネージド) では、この問題は影響を受けるすべてのバージョン 2.13 から 3.5 で解決されています。お客様には、できるだけ早くドメインを最新のサービスソフトウェアバージョンに更新することをお勧めします。エンジンバージョンのアップグレードは不要です。コンソールからアップデートを適用するには、ドメインを選択し、[アクション]、[サービスソフトウェアバージョン] の順に選択して [アップデート] をクリックします。自動ソフトウェア更新が有効になっているドメインは、次のオフピーク時にこの更新を受け取り、何もする必要はありません。詳細については、「Amazon OpenSearch Service のサービスソフトウェアの更新」を参照してください。
回避策:
ダイレクトクエリ機能 (Spark 統合の外部データソース) を使用しないユーザーは影響を受けません。ダイレクトクエリを設定しているユーザーは、パッチが適用されるまで、非同期クエリへのアクセスを信頼できるユーザーのみに制限する必要があります。
参考情報:
セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com までメールでお問い合わせください。