CVE-2026-12283 – Problem mit dem Athena Federated Query Synapse Connector
Bulletin-ID: 2026-059-AWS
Geltungsbereich: AWS
Inhaltstyp: Wichtig (erfordert Aufmerksamkeit)
Datum der Veröffentlichung: 17.07.2026, 12:00 Uhr PDT
Beschreibung:
Amazon Athena ist ein Serverless, interaktiver Abfrageservice, der die Analyse von Daten direkt in Amazon S3 mit Standard-SQL ermöglicht. Athena Query Federation ist eine Funktion, mit der Sie mithilfe der Standard-SQL-Syntax eine Verbindung zu Datenquellen außerhalb von Amazon S3 wie DynamoDB, Azure Synapse und benutzerdefinierten Konnektoren herstellen können. Diese Konnektoren sind Open Source und werden regelmäßig für den Athena-Service bereitgestellt. Wir haben die Schwachstelle CVE-2026-12283 identifiziert. Ein Benutzer mit Zugriff auf ein Azure Synapse-Konto kann eine Tabelle mit einem speziell gestalteten Namen erstellen, der, wenn er über den Athena-Synapse-Konnektor abgefragt wird, dazu führen kann, dass unbeabsichtigte Daten zurückgegeben werden.
Betroffene Versionen:
- Versionen >= v2022.20.1 (veröffentlicht am 19.05.2022) UND
- Versionen <= v2026.19.1 (veröffentlicht am 28.05.2026)
Lösung:
Dieses Problem wurde in der Version v2026.21.1 von AWS Athena Query Federation behoben. Sie sollten ein Upgrade auf die neueste Version vornehmen und dafür sorgen, dass geforkter oder derivativer Code gepatcht wird, damit die neuen Korrekturen enthalten sind.
Umgehungslösungen:
Stellen Sie sicher, dass es in der Synapse-Datenbank keine Tabellen gibt, die einer SQL-Injektion unterzogen werden können. Wenn Sie zulassen, dass Synapse-Tabellen programmgesteuert erstellt werden, sollten Sie die Eingabe bereinigen.
Referenzen:
Bei Sicherheitsfragen oder -bedenken wenden Sie sich bitte per E-Mail an aws-security@amazon.com.