CVE-2026-110812 - Amazon Neptune 中 Gremlin 圖形匯入路徑的不受信任資料還原序列化
佈告欄 ID： 2026-136-AWS
範圍：AWS
內容類型：重要 (需要注意)
發布日期： 2026 年 10 月 15 日上午 9:30 (太平洋夏令時間)
描述：
Amazon Neptune 是一種全受管圖形資料庫服務。我們已發現 CVE-2026-110812，這是 Apache TinkerPop 中與 Amazon Neptune 所使用之 Gremlin 功能相關的問題。在特定條件下，具有 Neptune 資料平面 (查詢) 許可的已驗證身分主體可能會提交請求，該請求導致查詢引擎不安全地處理不受信任的輸入，進而造成查詢引擎環境內的意外活動。此問題已在下列引擎版本中得到解決；我們建議客戶進行升級。
受影響版本： >= 1.2.0.0
解決方案：
此問題已在 Amazon Neptune 引擎版本 1.4.7.1、1.4.8.1 和 1.5.0.0 中得到解決。建議您將 Amazon Neptune 資料庫叢集升級至所屬引擎系列中已套用修補程式的對應版本。已啟用自動次要版本升級的客戶將在下一個維護時段收到更新；手動管理引擎版本的客戶則應自行升級。
變通方法：
此問題需要具有資料平面存取權的已驗證身分主體。在升級之前，請遵循最低權限實務，僅將 Neptune neptune-db (查詢) 許可授予受信任的主體。建議的修復方式為將資料庫叢集升級至已修補的 Neptune 引擎版本。
參考資料：
如有任何安全性問題或疑慮，請傳送電子郵件至 aws-security@amazon.com 。