CVE-2026-115418: injeção de SQL nos manipuladores de recursos personalizados de consultas de bancos de dados na Amazon Web Services (AWS)
ID do boletim: 2026-151-AWS
Escopo: AWS
Tipo de conteúdo: importante (requer atenção)
Data de publicação: 26/10/2026 09:30 PDT
Descrição:
O módulo @aws-cdk/aws-redshift-alpha do kit de desenvolvimento em nuvem (CDK) da AWS fornece constructos experimentais que gerenciam os usuários, tabelas e privilégios do Amazon Redshift. Identificamos a vulnerabilidade CVE-2026-115418, um problema em que nomes de usuários, comentários ou senhas manipulados definidos nesses constructos podiam alterar o SQL executado com privilégios de superusuário do Amazon Redshift durante a implantação, incluindo a concessão de acesso a todos os usuários do cluster. A exploração do problema exige a capacidade de influenciar os valores das propriedades dos constructos na aplicação do CDK.
Versões afetadas: <2.274.0-alpha.0
Resolução:
Esse problema foi resolvido no @aws-cdk/aws-redshift-alpha, versão 2.274.0. Recomendamos atualizar para a versão mais recente e garantir que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções. Após a atualização, revise as concessões de tabelas existentes para PUBLIC.
Soluções alternativas:
Use somente valores confiáveis de autoria do desenvolvedor para nomes de usuário, comentários e senhas nesses constructos e revise as concessões de tabelas existentes para PUBLIC.
Referências:
Reconhecimento:
Gostaríamos de agradecer a Joseph Semaan pela colaboração nesta questão por meio do processo coordenado de divulgação de vulnerabilidades.
Envie um e-mail para aws-security@amazon.com com qualquer dúvida ou preocupação relacionada à segurança.