AWS פרסמה התראת אבטחה חשובה על CVE-2026-118029 ב-AWS SDK for pandas, המוכר גם בשם awswrangler. הבעיה נמצאת במודול Amazon Athena ונוגעת למיקום ברירת המחדל שבו נשמרות תוצאות השאילתות ב-Amazon S3.
לפי AWS, הספרייה לא אימתה שה-bucket שנבחר כברירת מחדל אכן נמצא בבעלות החשבון שמריץ את השאילתה. תוקף מרוחק שיצר מראש bucket בשם הצפוי יכול, בתנאים המתאימים, לקרוא תוצאות Athena או לשנות את הנתונים שמוחזרים לאפליקציה.
למה זה מסוכן?
יישומי Python משתמשים ב-awswrangler כדי לחבר בין pandas לבין Athena, S3 ו-Glue. אם אפליקציה סומכת על תוצאה שהגיעה ממיקום שאינו בבעלותה, היא עלולה לחשוף נתונים רגישים או לעבד תוצאות ששונו בידי צד אחר. הסיכון אינו מוגבל לדליפת מידע: תוצאה מזויפת עשויה להשפיע על דוחות, תהליכי ETL, החלטות אוטומטיות או מודלים אנליטיים.
אילו גרסאות מושפעות?
כל גרסאות awswrangler הקודמות ל-3.16.1 מושפעות. התיקון נכלל בגרסה 3.16.1, שפורסמה ב-8 במאי 2026. AWS ממליצה לשדרג לגרסה העדכנית ולוודא שגם forks או קוד נגזר כוללים את התיקון.
מה צריך לבדוק בארגון?
- לאתר פרויקטים, notebooks, Lambda functions ו-containers שמשתמשים ב-
awswrangler. - לבדוק את הגרסה בפועל בקובצי requirements, Poetry, pipenv וב-images שכבר נבנו.
- לשדרג ל-3.16.1 לפחות, לבנות מחדש ולפרוס את הארטיפקטים.
- לוודא שבכל חשבון ואזור ה-bucket המשמש לתוצאות Athena נמצא בבעלות החשבון.
- להגדיר מיקום תוצאות מפורש או לאכוף את המיקום דרך Athena Workgroup.
הגנה גם לפני השלמת השדרוג
כפתרון ביניים, AWS מציעה לוודא את הבעלות על bucket ברירת המחדל בכל Account ו-Region, להגדיר s3_output מפורש או להשתמש בתצורת תוצאות כפויה של Workgroup. ארגונים עם כמה חשבונות צריכים לבצע את הבדיקה בנפרד בכל שילוב של חשבון ואזור.
כדאי גם לחפש buckets בעלי שמות תואמים בחשבונות שאינם בשליטת הארגון, לבדוק CloudTrail ו-S3 access logs, ולוודא שתוצאות Athena אינן כוללות מידע שלא היה אמור לצאת מגבולות החשבון.
מקור
AWS Security Bulletin 2026-153-AWS, פורסם ב-28 באוקטובר 2026.
קרדיט תמונה: panumas nikhomkhai / Pexels. דף המקור. רישיון Pexels Free מתיר שימוש באתר, בסושיאל ובשיווק וכן עריכה; התמונה היא המחשה בלבד ואינה מעידה על קשר ל-AWS, Athena או Amazon S3.
