CVE-2026-118029 – AWS SDK for pandas でデフォルトの Athena クエリ結果出力先の所有権が未検証の場合に発生する問題
速報 ID: 2026-153-AWS
スコープ: AWS
コンテンツタイプ: 重要 (注意が必要)
発行日: 2026 年 10 月 28 日午前 8 時 30 分 (太平洋夏時間)
説明:
AWS SDK for pandas (awswrangler) は、pandas を Amazon Athena、Amazon S3、AWS Glue などの AWS データサービスと統合するオープンソースの Python ライブラリです。AWS は、Athena モジュールで CVE-2026-118029 を特定しました。デフォルトのクエリ結果出力先の所有権が未検証の場合、リモートユーザーによる Athena クエリ結果の読み取り、および呼び出し側に返される結果セットの改ざん (事前に作成された S3 バケットを介して) を許可してしまう可能性があります。
影響を受けるバージョン: awswrangler 3.16.1 以前のバージョン
解決方法:
この問題は、2026 年 5 月 8 日にリリースされた AWS SDK for pandas バージョン 3.16.1 で対処されています。最新バージョンへのアップグレードを推奨しています。また、フォークしたコードや派生コードがある場合は、パッチを適用して新しい修正を取り込むことをお勧めします。
回避策:
各アカウントとリージョンで、デフォルトの Athena 結果バケットがユーザー自身のアカウントによって所有されていることを確認し、明示的な結果の場所を設定するか、ワークグループの結果設定を強制してください。
参考情報:
謝辞:
協調的脆弱性開示プロセスを通じてこの問題に協力してくださった Upwind Security の Dan Gansel 氏に感謝いたします。
セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com まで E メールでお問い合わせください。