Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-89
  • CWE-149

CVE-2026-119301

AWS SDK for pandas (awswrangler) Apache Iceberg yazımında SQL tanımlayıcı enjeksiyonu

aws-sdk-pandas

Yüksek 7,9 CVSS 3.1
Yayımlandı
Güncellendi
2 Kas 2026
Açık yaşı
0 gün
Kaydı açan
AMZN

Yönetici özeti

Bu açık, veri yönetim altyapınızda daha yetkili hesapların verilerine düşük yetkili bir kullanıcının erişmesine ve bu verileri değiştirmesine olanak tanıyabilir. Kullanılan veri kütüphanesinin güncellenmesi, veri sızıntısı ve veri bozulması riskini önemli ölçüde azaltır. Güncellemenin önceliklendirilmesi önerilir.

ÖzetTürkçe

AWS SDK for pandas (awswrangler) kütüphanesinin 3.5.2 ile 3.17.0 arasındaki sürümlerinde, Apache Iceberg yazma bileşeninde SQL tanımlayıcılarının oluşturulması sırasında tırnak sözdizimi düzgün etkisizleştirilmiyor. Saldırgan, AWS Glue Data Catalog meta verilerini değiştirebilen kimliği doğrulanmış bir kullanıcı olarak, özel hazırlanmış bir sütun adıyla bu sorunu tetikleyebilir. Etkilenen kurulumlar, bu kütüphaneyi kullanan ve Glue veri kataloğunda yetkili kullanıcıların bulunduğu ortamlardır.

Saldırgan ne yapabilir?

Saldırgan, daha yetkili bir hesabın erişebildiği tabloları okuyabilir ve bu hesabın güncellediği tabloya yazabilir. Bu da veri gizliliği ve bütünlüğü açısından ciddi bir risk oluşturur.

Kaynaktaki açıklama (İngilizce)

Improper neutralization of quoting syntax in SQL identifier construction in the Apache Iceberg write component in AWS SDK for pandas (also published as awswrangler) 3.5.2 through 3.17.0 might allow an authenticated remote user with permission to modify AWS Glue Data Catalog metadata to read any table that a separate, more privileged principal can access and write to the table that principal is updating via a crafted column name.

To remediate this issue, users should upgrade to version 3.17.1 or later.

Ne yapmalı?

  1. AWS SDK for pandas (awswrangler) kütüphanesini 3.17.1 veya daha yeni bir sürüme yükseltin. Üretici
  2. Yükseltmeyi uygulayamadan önce, AWS Glue Data Catalog meta verilerini değiştirme yetkisinin yalnızca güvenilir kullanıcılara verildiğini doğrulayın. Genel öneri

Ek önlemler

  • Glue veri kataloğu üzerindeki meta veri değiştirme yetkilerini en az ayrıcalık ilkesine göre gözden geçirin. Genel öneri
  • Sütun adlarının ve tablo meta verilerindeki beklenmedik değişikliklerin izlenmesi için günlük kaydı ve uyarı mekanizmaları kurun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
aws-sdk-pandas ≥ 3.5.2, < 3.17.1 3.17.1

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.