CVE-2026-115418 – Amazon Web Services (AWS) 中資料庫查詢自訂資源處理常式的 SQL 注入
公告 ID： 2026-151-AWS
範圍：AWS
內容類型：重要 (需要注意)
發布日期： 2026 年 10 月 26 日上午 9:30 (太平洋夏令時間)
描述：
AWS Cloud Development Kit (CDK) @aws-cdk/aws-redshift-alpha 模組提供實驗性建構，可管理 Amazon Redshift 使用者、資料表和權限。我們發現 CVE-2026-115418，此問題在於：在這些建構中設定的使用者名稱、註解或密碼若經刻意設計，可能變更部署時以 Amazon Redshift 超級使用者權限執行的 SQL，包括授予所有叢集使用者存取權。若要利用此問題，必須能夠影響 CDK 應用程式的建構屬性值。
受影響的版本： <2.274.0-alpha.0
解決方案：
此問題已在 @aws-cdk/aws-redshift-alpha 版本 2.274.0 中解決。我們建議升級至最新版本，並確保任何分支或衍生程式碼皆已套用修補程式，以納入新的修正。升級後，請檢閱現有授予 PUBLIC 的資料表授權。
變通方法：
在這些建構中，僅使用受信任且由開發人員撰寫的使用者名稱、註解及密碼值，並檢閱現有授予 PUBLIC 的資料表授權。
參考資料：
致謝：
我們誠摯感謝 Joseph Semaan 透過協調的漏洞披露程序，與我們協作解決此問題。
如有任何安全性問題或疑慮，請寄電子郵件至 aws-security@amazon.com 。