CVE-2026-14265
AWS · advanced jdbc wrapper
פורסם:
תקציר מנהלים
חולשת CVE-2026-14265 ב-RemoteQueryCachePlugin של AWS Advanced JDBC Wrapper בגרסאות 3.3.0–4.0.0 מאפשרת לתוקף בעל הרשאת כתיבה ל-Redis או Valkey משותף להרעיל תוצאות שאילתות ולגרום להרצת קוד שרירותי בשרתי האפליקציה באמצעות Deserialization לא מסונן, תוך סיכון למידע עסקי ולרציפות השירות. לא ידוע על ניצול בפועל; מומלץ לשדרג לגרסה 4.0.1 ומעלה ולהגביל הרשאות כתיבה וגישה לתשתית ה-Cache.
תיאור טכני (מקור)
Deserialization of untrusted data in the RemoteQueryCachePlugin in Amazon Web Services AWS Advanced JDBC Wrapper 3.3.0 through 4.0.0 might allow an actor with write access to the shared cache infrastructure to execute arbitrary code on application servers that read cached query results via a crafted serialized Java object. The RemoteQueryCachePlugin uses ObjectInputStream without class filtering when deserializing cached query results from Redis or Valkey, enabling gadget chain execution when cache entries are poisoned. We recommend upgrading to AWS Advanced JDBC Wrapper version 4.0.1 or later.
מקורות והנחיות
חולשות נוספות של AWS
AWS · AWS
חולשת SQL injection במודול @aws-cdk/aws-redshift-alpha של AWS CDK בגרסאות הקודמות ל-2.274.0-alpha.0 מאפשרת לגורם המסוגל להשפיע על ערכי מאפייני construct להריץ פקודות SQL בהרשאות superuser ב-Amazon Redshift, ובכך לחשוף מידע עסקי ולאפשר גישה בלתי מורשית לכל משתמשי הקלאסטר. לא ידוע על ניצול החולשה; מומלץ לשדרג לגרסה 2.274.0-alpha.0 ומעלה ולבחון הרשאות קיימות לטבלאות שהוענקו ל-PUBLIC ולצמצמן לפי הצורך.
AWS · AWS
חולשת CVE-2026-14904 ב-AWS Research and Engineering Studio (RES) מאפשרת למשתמש מרוחק מאומת לנצל טיפול לקוי ב-symbolic links ב-API Auth.GetUserPrivateKey לקריאת קבצים בהרשאות root על מופע ה-EC2 של cluster-manager, לרבות מפתחות SSH של משתמשים אחרים וסודות תצורה, באופן העלול לאפשר גישה בלתי מורשית למשאבים ותנועה רוחבית. לא ידוע על ניצול החולשה בפועל; מומלץ לשדרג ל-RES בגרסה 2026.06.
AWS · AWS
חולשת OS command injection (CVE-2026-13760, CVSS 7) ב-AWS aws-cdk-lib מאפשרת לתוקף השולט במחרוזות גרסה של תלויות ב-package.json להריץ פקודות שרירותיות על המארח המריץ את CDK, בעת Docker bundling של NodejsFunction עם nodeModules מוגדרים, ובכך לסכן סודות ותוצרי בנייה בסביבת הפיתוח או ה-CI/CD. לא ידוע על ניצול בפועל; מומלץ לשדרג ל-v2.260.0 ולהדק בקרה על שינויים בתלויות בפרויקט.
AWS · application load balancer
החולשה CVE-2026-13763 ב-AWS Application Load Balancer עם AWS WAF מאפשרת עקיפת בדיקת גוף הבקשה ב-Managed Rules באמצעות פיצול בקשות HTTP/2 בין frames, ועלולה לאפשר העברת תוכן זדוני ליישומים; היא משפיעה רק על Target Groups מסוג HTTP/2, ולא ידוע על ניצול בפועל. מומלץ להפעיל בהקדם את ההגדרה Inspect after sufficient data ב-Target Groups הרלוונטיים המשויכים ל-ALB, בהתאם להנחיות AWS.