CVE-2026-115418
AWS · AWS
פורסם:
תקציר מנהלים
חולשת SQL injection במודול @aws-cdk/aws-redshift-alpha של AWS CDK בגרסאות הקודמות ל-2.274.0-alpha.0 מאפשרת לגורם המסוגל להשפיע על ערכי מאפייני construct להריץ פקודות SQL בהרשאות superuser ב-Amazon Redshift, ובכך לחשוף מידע עסקי ולאפשר גישה בלתי מורשית לכל משתמשי הקלאסטר. לא ידוע על ניצול החולשה; מומלץ לשדרג לגרסה 2.274.0-alpha.0 ומעלה ולבחון הרשאות קיימות לטבלאות שהוענקו ל-PUBLIC ולצמצמן לפי הצורך.
תיאור טכני (מקור)
SQL injection in the database-query custom resource handlers in the Amazon Web Services (AWS) Cloud Development Kit (CDK) @aws-cdk/aws-redshift-alpha module before 2.274.0-alpha.0 could allow a third party who can influence construct property values to run SQL statements with Amazon Redshift superuser privileges, including granting access to all cluster users. The statements are reachable through crafted user names, comments, or passwords. To remediate this issue, users should upgrade to version 2.274.0-alpha.0 or later and review existing table grants to PUBLIC.
מקורות והנחיות
חולשות נוספות של AWS
AWS · AWS
חולשת CVE-2026-14904 ב-AWS Research and Engineering Studio (RES) מאפשרת למשתמש מרוחק מאומת לנצל טיפול לקוי ב-symbolic links ב-API Auth.GetUserPrivateKey לקריאת קבצים בהרשאות root על מופע ה-EC2 של cluster-manager, לרבות מפתחות SSH של משתמשים אחרים וסודות תצורה, באופן העלול לאפשר גישה בלתי מורשית למשאבים ותנועה רוחבית. לא ידוע על ניצול החולשה בפועל; מומלץ לשדרג ל-RES בגרסה 2026.06.
AWS · advanced jdbc wrapper
חולשת CVE-2026-14265 ב-RemoteQueryCachePlugin של AWS Advanced JDBC Wrapper בגרסאות 3.3.0–4.0.0 מאפשרת לתוקף בעל הרשאת כתיבה ל-Redis או Valkey משותף להרעיל תוצאות שאילתות ולגרום להרצת קוד שרירותי בשרתי האפליקציה באמצעות Deserialization לא מסונן, תוך סיכון למידע עסקי ולרציפות השירות. לא ידוע על ניצול בפועל; מומלץ לשדרג לגרסה 4.0.1 ומעלה ולהגביל הרשאות כתיבה וגישה לתשתית ה-Cache.
AWS · AWS
חולשת OS command injection (CVE-2026-13760, CVSS 7) ב-AWS aws-cdk-lib מאפשרת לתוקף השולט במחרוזות גרסה של תלויות ב-package.json להריץ פקודות שרירותיות על המארח המריץ את CDK, בעת Docker bundling של NodejsFunction עם nodeModules מוגדרים, ובכך לסכן סודות ותוצרי בנייה בסביבת הפיתוח או ה-CI/CD. לא ידוע על ניצול בפועל; מומלץ לשדרג ל-v2.260.0 ולהדק בקרה על שינויים בתלויות בפרויקט.
AWS · application load balancer
החולשה CVE-2026-13763 ב-AWS Application Load Balancer עם AWS WAF מאפשרת עקיפת בדיקת גוף הבקשה ב-Managed Rules באמצעות פיצול בקשות HTTP/2 בין frames, ועלולה לאפשר העברת תוכן זדוני ליישומים; היא משפיעה רק על Target Groups מסוג HTTP/2, ולא ידוע על ניצול בפועל. מומלץ להפעיל בהקדם את ההגדרה Inspect after sufficient data ב-Target Groups הרלוונטיים המשויכים ל-ALB, בהתאם להנחיות AWS.