CVE-2026-12283 – Athena Federated Query Synapse コネクタに関する問題
速報 ID: 2026-059-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
発行日: 2026 年 7 月 17 日 午後 12 時 00 分 (PDT)
説明:
Amazon Athena は、標準 SQL を使用して Amazon S3 のデータを直接分析できる、サーバーレスの対話型クエリサービスです。Athena Query Federation は、標準の SQL 構文を使用して、DynamoDB、Azure Synapse、カスタムコネクタなど、Amazon S3 以外のデータソースに接続できるようにする機能です。これらのコネクタはオープンソースであり、定期的に Athena サービスにデプロイされています。AWS では CVE-2026-12283 を特定しました。Azure Synapse アカウントへのアクセス権を持つユーザーは、特別に細工された名前のテーブルを作成することで、Athena Synapse コネクタを介してクエリを実行した際に、意図しないデータが返される可能性があります。
影響を受けるバージョン:
- バージョン >= v2022.20.1 (2022 年 5 月 19 日にリリース) および
- バージョン <= v2026.19.1 (2026 年 5 月 28 日にリリース)
解決方法:
この問題は AWS Athena クエリフェデレーションバージョン v2026.21.1 で解決されています。最新バージョンにアップグレードし、フォークしたコードや派生コードにパッチを適用して新しい修正を反映させることをお勧めします。
回避策:
Synapse データベースに SQL インジェクションの対象となり得るテーブルがないことを確認します。Synapse テーブルをプログラムで作成できるようにしている場合は、入力をサニタイズする必要があります。
参考情報:
セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com までメールでお問い合わせください。