CVE-2026-118029 - pandas용 AWS SDK의 기본 Athena 쿼리 결과 위치 소유권 미검증
공지 ID: 2026-153-AWS
범위: AWS
콘텐츠 유형: 중요(주의 필요)
게시 날짜: 10/28/2026 08:30 AM PDT
설명:
pandas용 AWS SDK(awswrangler)는 pandas를 Amazon Athena, Amazon S3 및 AWS Glue와 같은 AWS 데이터 서비스와 통합하는 오픈 소스 Python 라이브러리입니다. Athena 모듈에서 CVE-2026-118029 취약성을 확인했습니다. 이 취약성은 기본 쿼리 결과 위치의 소유권을 검증하지 않아 발생하는 문제로, 원격 사용자가 미리 생성된 S3 버킷을 통해 Athena 쿼리 결과를 읽고 호출자에게 반환되는 결과 세트를 변조할 수 있습니다.
영향을 받는 버전: awswrangler 3.16.1 미만
해결 방법:
이 문제는 2026년 5월 8일 릴리스된 pandas용 AWS SDK 버전 3.16.1에서 해결되었습니다. 최신 버전으로 업그레이드하고, 새로운 수정 사항이 반영되도록 포크되거나 파생된 코드에 패치를 적용하는 것이 좋습니다.
임시 해결 방법:
각 계정 및 리전의 기본 Athena 결과 버킷을 사용자 자체 계정이 소유하는지 확인하고, 명시적 결과 위치를 설정하거나 작업 그룹 결과 구성을 적용합니다.
참고 사항:
도움을 주신 분:
조정된 취약성 공개 프로세스에서 이 문제에 협력해 주신 Upwind Security의 Dan Gansel님께 감사드립니다.
보안 관련 질문이나 우려 사항이 있는 경우 aws-security@amazon.com 로 이메일을 보내 주세요.