CVE-2026-115418 – Amazon Web Services (AWS) の database-query カスタムリソースハンドラーにおける SQL インジェクション
速報 ID: 2026-151-AWS
スコープ: AWS
コンテンツタイプ: 重要 (注意が必要)
公開日: 2026 年 10 月 26 日午前 9 時 30 分 (太平洋夏時間)
説明:
AWS Cloud Development Kit (CDK) @aws-cdk/aws-redshift-alpha モジュールは、Amazon Redshift のユーザー、テーブル、権限を管理する実験的なコンストラクトを提供します。AWS は、CVE-2026-115418 の問題を特定しました。このコンストラクト内に巧妙に細工されたユーザー名、コメント、またはパスワードが設定されると、デプロイ時に Amazon Redshift のスーパーユーザー権限 (すべてのクラスターユーザーへのアクセス権の付与を含む) で実行される SQL の変更が可能になります。この脆弱性を悪用するには、CDK アプリケーションのコンストラクトのプロパティ値を操作できる必要があります。
影響を受けるバージョン: 2.274.0-alpha.0 以前のバージョン
解決方法:
この問題は @aws-cdk/aws-redshift-alpha バージョン 2.274.0 で対処されています。最新バージョンへのアップグレードを推奨しています。また、フォークしたコードや派生コードがある場合は、パッチを適用して新しい修正を取り込むことをお勧めします。アップグレード後、PUBLIC への既存のテーブル権限付与を確認してください。
回避策:
このコンストラクトでは、ユーザー名、コメント、パスワードには信頼できる開発者が作成した値のみを使用してください。また、PUBLIC への既存のテーブル権限付与を確認してください。
参考情報:
謝辞:
協調的脆弱性開示プロセスを通じてこの問題に協力してくださった Joseph Semaan 氏に感謝いたします。
セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com まで E メールでお問い合わせください。