CVE-2026-110812 - Amazon Neptune의 Gremlin 그래프 가져오기 경로에서 신뢰할 수 없는 데이터의 역직렬화
공지 ID: 2026-136-AWS
범위: AWS
콘텐츠 유형: 중요(주의 필요)
게시 날짜: 2026년 10월 15일 오전 9시 30분(PDT)
설명:
Amazon Neptune은 완전관리형 그래프 데이터베이스 서비스입니다. Amazon Neptune에서 사용하는 Gremlin 기능과 관련된 Apache TinkerPop의 문제인 CVE-2026-110812를 식별했습니다. 특정 조건에서 Neptune 데이터 플레인(쿼리) 권한이 있는 인증된 위탁자는 요청을 제출하여 쿼리 엔진이 신뢰할 수 없는 입력을 안전하지 않게 처리하도록 할 수 있으며, 이로 인해 쿼리 엔진 환경 내에서 의도하지 않은 활동이 발생할 수 있습니다. 이 문제는 아래 나열된 엔진 버전에서 해결되었습니다. 고객 여러분께서는 해당 버전으로 업그레이드하시기 바랍니다.
영향을 받는 버전: >=1.2.0.0
해결 방법:
이 문제는 Amazon Neptune 엔진 버전 1.4.7.1, 1.4.8.1 및 1.5.0.0에서 해결되었습니다. Amazon Neptune DB 클러스터를 사용 중인 엔진 버전 계열에 맞는 패치 버전으로 업그레이드하는 것이 좋습니다. 마이너 버전 자동 업그레이드가 활성화된 고객은 다음 유지 관리 기간에 업데이트를 받게 되며, 엔진 버전을 수동으로 관리하는 고객은 직접 업그레이드해야 합니다.
임시 해결 방법:
이 문제에는 데이터 플레인 액세스 권한이 있는 인증된 위탁자가 필요합니다. 업그레이드할 수 있을 때까지 최소 권한 관행을 따르고 신뢰할 수 있는 위탁자에게만 Neptune neptune-db(쿼리) 권한을 부여하세요. DB 클러스터를 패치된 Neptune 엔진 버전으로 업그레이드하는 것이 권장되는 해결 방법입니다.
참고 사항:
보안 관련 질문이나 우려 사항이 있는 경우 aws-security@amazon.com로 이메일을 보내 주세요.