CVE-2026-118029 – AWS SDK for pandas 中預設 Athena 查詢結果位置的未驗證擁有權
公告 ID： 2026-153-AWS
範圍：AWS
內容類型：重要 (需要注意)
發布日期： 2026 年 10 月 28 日上午 8:30 (太平洋夏令時間)
描述：
AWS SDK for pandas (awswrangler) 是開放原始碼的 Python 程式庫，可將 pandas 與 Amazon Athena、Amazon S3 和 AWS Glue 等 AWS 資料服務整合。我們在 Athena 模組中發現 CVE-2026-118029，其中預設查詢結果位置的擁有權未經驗證，可能讓遠端使用者讀取 Athena 查詢結果，並透過預先建立的 S3 儲存貯體竄改回傳給呼叫端的結果集。
受影響的版本： awswrangler < 3.16.1
解決方案：
此問題已在 2026 年 5 月 8 日發行的 AWS SDK for pandas 3.16.1 版中解決。我們建議升級至最新版本，並確保任何分支或衍生程式碼皆已套用修補程式，以納入新的修正。
變通方法：
請確認每個帳戶和區域中的預設 Athena 結果儲存貯體是由您自己的帳戶擁有，並設定明確的結果位置，或強制套用工作群組結果組態。
參考資料：
致謝：
我們誠摯感謝 Upwind Security 的 Dan Gansel 透過協調的漏洞披露程序，與我們協作解決此問題。
如有任何安全性問題或疑慮，請寄電子郵件至 aws-security@amazon.com 。