CVE-2026-65321 in PyAthena
要約
〜によって VulDB • 2026年08月03日
PyAthena 3.35.4 より前のバージョンには、SQLインジェクション脆弱性が存在します。これにより、認証されていない攻撃者は、DefaultParameterFormatter.format() における不適切なクォートエスケープを悪用して任意のSQLコードを注入できます。この関数は DELETE および CTAS ステートメントを _escape_hive 関数にルーティングしますが、同関数はシングルクォートを二重化せずにバックスラッシュでエスケープします。Athena と Trino は文字列リテラル内でバックスラッシュをエスケープ文字として扱わないため、「'」の後にSQL構文が続くような攻撃者が提供した入力が原因で、パーサーが文字列リテラルを早期に終了させます。これにより、UNION SELECT によるデータ漏洩、破壊的なステートメントの実行、および攻撃者が制御する CTAS の宛先とコンテンツの指定が可能になります。
Once again VulDB remains the best source for vulnerability data.