CVE-2026-110812: desserialização de dados não confiáveis no caminho graph-import do Gremlin no Amazon Neptune
ID do boletim: 2026-136-AWS
Escopo: AWS
Tipo de conteúdo: importante (requer atenção)
Data de publicação: 15/10/2026 09h30 PDT
Descrição:
o Amazon Neptune é um serviço totalmente gerenciado de banco de dados de grafos. Identificamos o CVE-2026-110812, um problema no Apache TinkerPop relacionado à funcionalidade do Gremlin usada pelo Amazon Neptune. Sob certas condições, uma entidade principal autenticada com permissões de plano de dados (consulta) do Neptune pode enviar uma solicitação que faz com que o mecanismo de consulta processe entradas não confiáveis de forma insegura, o que pode levar a atividades não intencionais no ambiente do mecanismo de consulta. Esse problema foi resolvido nas versões do mecanismo listadas abaixo; recomendamos que os clientes atualizem.
Versões afetadas: >=1.2.0.0
Resolução:
este problema foi resolvido nas versões 1.4.7.1, 1.4.8.1 e 1.5.0.0 do mecanismo Amazon Neptune. Recomendamos atualizar seu cluster de banco de dados do Amazon Neptune para a versão corrigida correspondente à sua linha de mecanismos. Clientes com a atualização automática de versão secundária habilitada receberão a atualização durante a próxima janela de manutenção; os clientes que gerenciam as versões do mecanismo manualmente devem fazer o upgrade.
Soluções alternativas:
este problema exige uma entidade principal autenticada com acesso ao plano de dados. Até que você possa fazer o upgrade, siga as práticas de privilégio mínimo e conceda permissões neptune-db (consulta) do Neptune somente às entidades principais confiáveis. Atualizar seu cluster de banco de dados para uma versão corrigida do mecanismo Neptune é a correção recomendada.
Referências:
Envie um e-mail para aws-security@amazon.com com qualquer dúvida ou preocupação relacionada à segurança.