CVE-2026-119084

WysokieCVSS 8.1

Opublikowano: 03/11/2026(UTC)Zaktualizowano: 06/11/2026(UTC)Przetłumaczono: 04/11/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.45%

Percentyl 39 - wyżej niż 39% wszystkich znanych CVE

Streszczenie

W wersjach Amazon Redshift JDBC Driver przed 2.3.0 występuje niebezpieczne użycie refleksji podczas obsługi parametrów połączenia oraz profili poświadczeń. Osoba mogąca wpłynąć na URL połączenia JDBC lub nazwę profilu poświadczeń AWS może doprowadzić do wykonania dowolnego kodu w kontekście aplikacji, jeśli w classpath dostępna jest odpowiednia klasa.

Ocena ryzyka

Podatność może pozwolić na zdalne wykonanie kodu w aplikacji korzystającej z Redshift JDBC, jeśli atakujący kontroluje parametry połączenia lub konfigurację poświadczeń. Wymaga to jednak dostępności odpowiedniej klasy w classpath aplikacji.

Rekomendacja

Zaktualizuj Amazon Redshift JDBC Driver do wersji 2.3.0 lub nowszej. Dodatkowo ogranicz możliwość modyfikacji URL połączenia JDBC i profili poświadczeń przez niezaufane źródła.

Inne podatności w Amazon Redshift JDBC Driver

CVE-2026-8178Wysokie
Występuje problem w sterowniku JDBC Amazon Redshift w wersjach przed 2.2.2, który może pozwolić na załadowanie i wykonanie dowolnych klas podczas przetwarzania parametrów URL połączenia JDBC.

Oryginalny opis (angielski, źródło NVD)

Unsafe reflection in the connection parameter and credentials profile handling of Amazon Redshift JDBC Driver before 2.3.0 might allow an actor who can influence the JDBC connection URL or the AWS credentials profile to execute arbitrary code in the application context, provided a suitable class is available on the application classpath. To remediate this issue, users should upgrade to version 2.3.0 or later.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS