AWS פרסמה התראת אבטחה חשובה עבור Amazon Redshift JDBC Driver: חולשת CVE‑2026‑119084 עלולה לאפשר טעינה והרצה של מחלקות שרירותיות כאשר תוקף מצליח להשפיע על פרמטרים בכתובת החיבור JDBC או בשדות של פרופיל AWS Credentials. כל גרסה מוקדמת מ־2.3.0 מושפעת.
מה בדיוק קורה?
Redshift JDBC Driver הוא מנהל התקן Type 4 שמאפשר ליישומי Java להתחבר ל־Amazon Redshift דרך ממשקי JDBC רגילים. לפי AWS, בתנאים מסוימים עיבוד של פרמטרים ב־JDBC connection URL או בפרופיל credentials יכול לגרום למנהל ההתקן לטעון ולהריץ מחלקות שרירותיות.
המשמעות היא ששחקן שמסוגל לשלוט בכתובת החיבור, בחלק ממנה או בשדות פרופיל האישורים עשוי להריץ קוד בהקשר של היישום המשתמש במנהל ההתקן. ההשפעה תלויה בהרשאות של תהליך Java, ולכן שירות שרץ בהרשאות גבוהות עלול להרחיב משמעותית את הנזק.
מי מושפע?
- Amazon Redshift JDBC Driver בגרסה נמוכה מ־2.3.0.
- יישומים שמרכיבים JDBC URL מתוך קלט חיצוני, קובצי תצורה משותפים או משתני סביבה שאינם מוגנים.
- מערכות שבהן משתמשים יכולים להשפיע על AWS credentials profile או על פרמטרי חיבור.
- Forks או נגזרות של מנהל ההתקן שלא שילבו את התיקון.
התיקון: לשדרג ל־2.3.0
AWS תיקנה את החולשה ב־Amazon Redshift JDBC Driver 2.3.0 וממליצה לעבור לגרסה העדכנית. יש לעדכן גם עותקים פנימיים, images, כלי ETL, יישומי BI ו־forks שמכילים את הקוד הישן — לא רק את התלות הראשית בפרויקט.
אם אי אפשר לשדרג מיד
- למנוע לחלוטין בנייה של JDBC URL מקלט לא מהימן.
- לאפשר רק רשימה סגורה של פרמטרים וערכים צפויים.
- לבדוק הרשאות כתיבה לקובצי AWS credentials ולפרופילים המשמשים את היישום.
- להריץ את התהליך בהרשאות המינימליות ולחסום יצירת תהליכים או טעינת קוד ממיקומים לא מורשים.
- לחפש בלוגים שינויים חריגים בפרמטרי חיבור וניסיונות טעינת מחלקות.
רשימת בדיקה לצוותים
- לאתר את גרסת ה־driver בכל Maven/Gradle lockfile ובכל image פרוס.
- למפות מי יכול לשנות secrets, profiles ו־connection strings.
- להוסיף בדיקת SCA שמתריעה על גרסאות מתחת ל־2.3.0.
- לבדוק יישומים שכבר אינם בפיתוח פעיל אך עדיין מתחברים ל־Redshift.
- לתעד את השדרוג ולבצע בדיקת חיבור ורגרסיה לאחר העדכון.
מקור
AWS Security Bulletin 2026‑168‑AWS, פורסם ב־3 בנובמבר 2026. AWS מודה לחוקרים 4ra1n, pyn3rd ו־unam4 על הדיווח המתואם.
תמונה: Christina Morillo / Pexels. רישיון Pexels Free מתיר שימוש ועריכה באתר, בסושיאל ובקמפיינים שיווקיים. התמונה להמחשה ואינה מעידה על תמיכה מצד AWS. דף המקור · הרישיון.
