CVE-2026-115418 - Amazon Web Services(AWS)의 database-query 사용자 지정 리소스 핸들러에서 발생하는 SQL 인젝션
공지 ID: 2026-151-AWS
범위: AWS
콘텐츠 유형: 중요(주의 필요)
게시 날짜: 2026년 10월 26일 오전 9시 30분 PDT
설명:
AWS Cloud Development Kit(CDK) @aws-cdk/aws-redshift-alpha 모듈은 Amazon Redshift 사용자, 테이블 및 권한을 관리하는 실험적 구성을 제공합니다. AWS는 이러한 구성 요소에 설정된 사용자 이름, 주석 또는 암호에 조작된 값을 입력하면 배포 시 Amazon Redshift 슈퍼유저 권한으로 실행되는 SQL을 변조할 수 있는 취약점인 CVE-2026-115418을 확인했습니다. 이로 인해 모든 클러스터 사용자에게 액세스 권한이 부여되는 등의 문제가 발생할 수 있습니다. 이 문제를 악용하려면 CDK 애플리케이션의 구성 속성 값에 영향을 미칠 수 있어야 합니다.
영향을 받는 버전: 2.274.0-alpha.0 미만
해결 방법:
이 문제는 @aws-cdk/aws-redshift-alpha 버전 2.274.0에서 해결되었습니다. 최신 버전으로 업그레이드하고, 새로운 수정 사항이 반영되도록 포크되거나 파생된 코드에도 패치를 적용하는 것이 좋습니다. 업그레이드 후에는 PUBLIC에 부여되어 있는 기존 테이블 권한을 검토합니다.
임시 해결 방법:
이러한 구성의 사용자 이름, 설명 및 암호에는 신뢰할 수 있는 개발자 작성 값만 사용하고 PUBLIC에 부여되어 있는 기존 테이블 권한을 검토합니다.
참고 사항:
도움을 주신 분:
조정된 취약성 공개 프로세스를 통해 이 문제 해결에 도움을 준 Joseph Semaan님께 감사드립니다.
보안 관련 질문이나 우려 사항이 있는 경우 aws-security@amazon.com 으로 이메일을 보내 주세요.