CVE-2026-77810 – Problem mit dem Athena Federated Query Neptune Connector
Bulletin-ID: 2026-087-AWS
Geltungsbereich: AWS
Inhaltstyp: Wichtig (erfordert Aufmerksamkeit)
Datum der Veröffentlichung: 21.08.2026, 12.30 Uhr PDT
Beschreibung:
Amazon Athena ist ein Serverless, interaktiver Abfrageservice, der die Analyse von Daten direkt in Amazon S3 mit Standard-SQL ermöglicht. Athena Query Federation ist eine Funktion, mit der Sie mithilfe der Standard-SQL-Syntax eine Verbindung zu Datenquellen außerhalb von Amazon S3 wie DynamoDB, Azure Synapse und benutzerdefinierten Konnektoren herstellen können. Diese Konnektoren sind Open Source und werden regelmäßig für den Athena-Service bereitgestellt.
Wir haben die Schwachstelle CVE-2026-77810 im Neptune-Konnektor identifiziert, durch die ein Benutzer, der über Athena Federated Query Zugriff auf Neptune hat, Zugriff auf Eigenschaften im Lambda erhalten könnte, die die Rechenleistung für den Konnektor bereitstellen.
Betroffene Versionen: <=v2026.28.1 UND >=v2024.15.1
Behebung:
Dieses Problem wurde in der Version v2026.30.1 von Athena Federated Query behoben. Wir empfehlen, ein Upgrade auf die neueste Version vorzunehmen und dafür zu sorgen, dass geforkter oder derivativer Code gepatcht wird, damit die neuen Korrekturen enthalten sind.
Problemumgehungen:
Alternativ können Kunden dieses Problem mindern, indem sie das Abfrage-Passthrough auf dem Konnektor deaktivieren, athena:StartQueryExecution im Neptune-Katalog einschränken oder sicherstellen, dass die Passthrough-Abfrage nur Gremlin, openCypher oder SPARQL enthält.
Referenzen:
Bei Fragen oder Bedenken zum Thema „Sicherheit“ wenden Sie sich bitte per E-Mail an aws-security@amazon.com.