CVE-2026-107352 - Amazon Athena エンジンバージョン 3 リクエスト処理で認可チェックがありません
速報 ID: 2026-128-AWS
スコープ: AWS
コンテンツタイプ: 重要 (注意が必要)
公開日: 10/07/2026 13:00 PM PDT
説明:
Amazon Athena エンジンバージョン 3 のリクエスト処理で認可チェックがないと、認証されたユーザーが他の AWS アカウントから制限付きクエリメタデータ (AWS アカウント識別子と SQL ステートメントテキスト) を読み取ることを許可した可能性があります。AWS は 2026 年 9 月 1 日にこの問題を修正し、顧客メタデータにアクセスされていないことを確認しました。クエリ結果、認証情報、Amazon S3 データは影響を受けませんでした。顧客のアクションは必要ありません。
解決方法:
この問題は、2026 年 9 月 1 日にサービス側で対処されました。
回避策:
利用可能な回避策はありません。
参考情報:
確認:
調整された脆弱性開示プロセスを通じてこの問題に協力した Act Security の Oren Yomtov に感謝します。
セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com まで E メールでお問い合わせください。