CVE-2026-107352

WysokieCVSS 7.7

Opublikowano: 07/10/2026(UTC)Zaktualizowano: 11/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Brak autoryzacji w obsłudze żądań silnika Amazon Athena w wersji 3 mógł pozwolić uwierzytelnionemu użytkownikowi na odczytanie ograniczonych metadanych zapytań (identyfikatory kont AWS i tekst instrukcji SQL) z innych kont AWS. Wyniki zapytań, poświadczenia i dane Amazon S3 nie były dotknięte. AWS naprawił problem 1 września 2026 roku i potwierdził, że żadne metadane klientów nie zostały uzyskane. Nie jest wymagane działanie klienta.

Ocena ryzyka

Organizacja może być narażona na ujawnienie ograniczonych metadanych zapytań (identyfikatory kont i tekst SQL) innym uwierzytelnionym użytkownikom, co może naruszyć poufność informacji o zapytaniach.

Rekomendacja

Nie jest wymagane działanie klienta, ponieważ AWS już naprawił problem. Należy monitorować komunikaty AWS w celu potwierdzenia, że poprawka jest aktywna.

Inne podatności w Amazon Athena

CVE-2026-115416Wysokie
Nieprawidłowe kontrole autoryzacji w przetwarzaniu zapytań silnika Amazon Athena w wersji 3 mogły pozwolić uwierzytelnionemu użytkownikowi na odczyt identyfikatorów kont AWS oraz metadanych zapytań (tekstu SQL) należących do innych kont AWS. Wyniki zapytań oraz dane przechowywane w Amazon S3 lub innych źródłach danych nie były dostępne przez tę lukę. AWS naprawił problem 7 października 2026 r. i nie są wymagane żadne działania klientów.

Oryginalny opis (angielski, źródło NVD)

Missing authorization checks in Amazon Athena engine version 3 request handling could have allowed an authenticated user to read limited query metadata (AWS account identifiers and SQL statement text) from other AWS accounts. Query results, credentials, and Amazon S3 data were not affected. AWS remediated the issue on September 1, 2026, and has confirmed no customer metadata was accessed. No customer action is required.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS