CVE-2026-108096: AWS Amplify API カテゴリの SQL-backed モデルのクエリリゾルバーの不適切な認可
速報 ID: 2026-133-AWS
スコープ: AWS
コンテンツタイプ: 重要 (注意が必要)
公開日: 10/09/2026 11:00 AM PDT
説明:
AWS Amplify API Category は、認可ルールを使用して GraphQL データモデルを AWS AppSync APIs。CVE-2026-108096 を特定しました。@aws-amplify/graphql-index-transformer によって生成されたクエリリゾルバーの不適切な認可により、認証されたリモートユーザーが、作成されたクエリを介して同じアプリケーションの他のユーザーが所有するレコードを読み取ることができる可能性があります。
影響を受けるバージョン:
- @aws-amplify/graphql-index-transformer >=2.2.0、<3.1.2;
- @aws-amplify/graphql-api-construct >=1.4.0、<1.21.4;
- @aws-amplify/data-construct <1.17.4
解決方法:
この問題は、@aws-amplify/graphql-index-transformer 3.1.2 (@aws-amplify/data-construct 1.17.4 および @aws-amplify/graphql-api-construct 1.21.4 に含まれています) で対処されています。最新バージョンにアップグレードし、フォークコードまたは派生コードにパッチを適用して新しい修正を組み込み、バックエンドを再デプロイすることをお勧めします。
回避策:
利用可能な回避策はありません。
参考情報:
セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com まで E メールでお問い合わせください。