CVE-2026-119301 Inyección SQL en la generación de identificadores de Apache Iceberg en AWS SDK for pandas
Neutralización incorrecta de la sintaxis de comillas en la construcción de identificadores SQL del componente de escritura de Apache Iceberg en AWS SDK for pandas (awswrangler) 3.5.2 a 3.17.0. Un usuario remoto autenticado con permiso para modificar metadatos de AWS Glue Data Catalog podría leer tablas de un principal más privilegiado y escribir en la tabla que ese principal actualiza mediante un nombre de columna manipulado. Se corrige en 3.17.1 o posterior.
CVSS 3.1
- CVSS 4.05.0 · media
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 28
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
AWS aws-sdk-pandas
desde 3.5.2 hasta antes de 3.17.1
Qué hacer
- Verificá si usás aws-sdk-pandas y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 7.9 ALTA
CVSS:3.1/AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:L
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosBajos
- Interacción del usuarioRequerida
- AlcanceCambiado
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadBaja
CVSS 4.0 · 5.0 MEDIA
CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:A/VC:N/VI:N/VA:N/SC:H/SI:H/SA:L
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Requisitos del ataquePresentes
- Privilegios requeridosBajos
- Interacción del usuarioActiva
- Confidencialidad (sistema vulnerable)Ninguna
- Integridad (sistema vulnerable)Ninguna
- Disponibilidad (sistema vulnerable)Ninguna
- Confidencialidad (sistemas posteriores)Alta
- Integridad (sistemas posteriores)Alta
- Disponibilidad (sistemas posteriores)Baja
Descripción original
Improper neutralization of quoting syntax in SQL identifier construction in the Apache Iceberg write component in AWS SDK for pandas (also published as awswrangler) 3.5.2 through 3.17.0 might allow an authenticated remote user with permission to modify AWS Glue Data Catalog metadata to read any table that a separate, more privileged principal can access and write to the table that principal is updating via a crafted column name.
To remediate this issue, users should upgrade to version 3.17.1 or later.
Referencias (3)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.