CVE-2026-118029: propriedade não verificada do local padrão de resultados de consultas do Athena no AWS SDK for pandas
ID do boletim: 2026-153-AWS
Escopo: AWS
Tipo de conteúdo: Importante (requer atenção)
Data de publicação: 28/10/2026 08:30 PDT
Descrição:
O AWS SDK for pandas (awswrangler) é uma biblioteca Python de código aberto que integra o pandas aos serviços de dados da AWS, como o Amazon Athena, Amazon S3 e AWS Glue. Identificamos a vulnerabilidade CVE-2026-118029 no módulo do Athena, em que a propriedade não verificada do local padrão de resultados de consultas poderia permitir que um usuário remoto lesse os resultados de consultas do Athena e adulterasse os conjuntos de resultados retornados ao chamador por meio de um bucket pré-criado do S3.
Versões afetadas: awswrangler < 3.16.1
Resolução:
Esse problema foi resolvido no AWS SDK for pandas versão 3.16.1, lançado em 8 de maio de 2026. Recomendamos atualizar para a versão mais recente e garantir que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções.
Soluções alternativas:
Verifique se o bucket de resultados padrão do Athena em cada conta e região pertence à sua própria conta e defina um local de resultados explícito ou aplique uma configuração de resultados de grupo de trabalho.
Referências:
Reconhecimento:
Gostaríamos de agradecer a Dan Gansel da Upwind Security pela colaboração nessa questão por meio do processo coordenado de divulgação de vulnerabilidades.
Envie um e-mail para aws-security@amazon.com com qualquer dúvida ou preocupação relacionada à segurança.