CVE-2026-77810 – Athena フェデレーテッドクエリの Neptune コネクタに関する問題
速報 ID: 2026-087-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
発行日: 2026 年 8 月 21 日 12 時 30 分 (PDT)
説明:
Amazon Athena は、標準 SQL を使用して Amazon S3 のデータを直接分析できる、サーバーレスの対話型クエリサービスです。Athena Query Federation は、標準の SQL 構文を使用して、DynamoDB、Azure Synapse、カスタムコネクタなど、Amazon S3 以外のデータソースに接続できるようにする機能です。これらのコネクタはオープンソースで、定期的に Athena サービスにデプロイされています。
Neptune コネクタにおいて、Athena フェデレーテッドクエリから Neptune にアクセスできるユーザーが、コネクタにコンピューティングリソースを提供する Lambda 内のプロパティにアクセスできてしまう問題 (CVE-2026-77810) を特定しました。
影響を受けるバージョン: v2024.15.1 以上かつ v2026.28.1 以下
解決方法:
この問題は Athena フェデレーテッドクエリ バージョン v2026.30.1 で対処されています。最新バージョンにアップグレードし、フォークしたコードまたは派生コードにパッチを適用して新しい修正を組み込むことをお勧めします。
回避策:
このほか、コネクタでのクエリパススルーの無効化、Neptune カタログに対する athena:StartQueryExecution の制限、パススルーするクエリに Gremlin、openCypher、または SPARQL のみが含まれるように制限することで、この問題を緩和することができます。
参考情報:
セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com までメールにてお問い合わせください。