CVE-2026-75910 in Athena Federated Query
要約
〜によって VulDB • 2026年08月21日
Amazon Athena Federated Queryのv2026.17.1以前のバージョンにおけるClickHouseコネクタのデプロイメントテンプレートでの権限割り当ての不備により、認証済みリモートユーザーが任意のAWS Secrets Managerシークレットを読み取ることが可能になります。これは、コネクタの接続文字列を無関係なシークレットおよびユーザーが制御するデータベースエンドポイントに向けることで発生し、その結果、コネクタがシークレットを当該エンドポイントへ送信します。この問題を解決するには、aws-athena-query-federationコネクタをv2026.17.1以降にアップグレードし、フォークまたは派生コードにも新しい修正を組み込むようパッチを適用してください。あるいは、現在のテンプレートを使用してコネクラを再デプロイし、空でないSecretNamePrefix値を指定することでこの問題を回避できます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.