速報 ID: 2026-136-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
公開日: 2026 年 10 月 15 日午前 9 時 30 分 (太平洋標準時)

説明:

Amazon Neptune は完全マネージド型のグラフデータベースサービスです。AWS は、Amazon Neptune で使用される Gremlin 機能に関連する Apache TinkerPop の問題である CVE-2026-110812 を特定しました。特定の条件下では、Neptune データプレーン (クエリ) アクセス許可を持つ認証済みプリンシパルがリクエストを送信することで、信頼できない入力がクエリエンジンによって安全でない方法で処理され、クエリエンジン環境内で意図しないアクティビティが発生する可能性がありました。この問題は、以下に示すエンジンバージョンで対処されています。アップグレードすることをお勧めします。

影響を受けるバージョン: >=1.2.0.0

解決方法:

この問題は、Amazon Neptune エンジンバージョン 1.4.7.1、1.4.8.1、および 1.5.0.0 で対処されています。Amazon Neptune DB クラスターを、エンジンラインに対応するパッチ適用バージョンにアップグレードすることをお勧めします。自動マイナーバージョンアップグレードが有効になっているお客様は、次回のメンテナンスウィンドウ中に更新を受け取ります。エンジンバージョンを手動で管理しているお客様はアップグレードしてください。

回避策:

この問題は、データプレーンへのアクセス権を持つ認証済みプリンシパルが存在する場合に発生します。アップグレードが可能になるまで、最小特権のプラクティスに従い、Neptune の neptune-db (クエリ) アクセス許可を信頼できるプリンシパルにのみ付与してください。DB クラスターをパッチ適用済みの Neptune エンジンバージョンにアップグレードすることが推奨される修復です。

参考情報:

• CVE-2026-110812

セキュリティに関するご質問やご懸念がある場合は、aws-security@amazon.com  まで E メールでお問い合わせください。