AWS פרסמה עדכון אבטחה לחולשה CVE-2026-119301 ב-AWS SDK for pandas, המוכר גם כחבילת awswrangler. החולשה נמצאת באופן שבו נבנים מזהי SQL בעת כתיבה לטבלאות Apache Iceberg, ועלולה לאפשר ניצול הרשאות של תהליך בעל הרשאות גבוהות יותר.
אילו גרסאות מושפעות
הגרסאות המושפעות הן 3.5.2 ועד לפני 3.17.1. התיקון נכלל בגרסה 3.17.1, ו-AWS ממליצה לשדרג אליה. לפי ה-GitHub Security Advisory, החולשה מדורגת High בציון CVSS של 7.9.
איך התרחיש עובד
התוקף צריך להיות משתמש מאומת שמורשה לשנות מטא-דאטה של קטלוג AWS Glue. באמצעות שם עמודה שנבנה באופן זדוני, ניתן להשפיע על מזהי SQL שנוצרים בתהליך כתיבה ל-Iceberg. אם לאחר מכן תהליך או משתמש בעלי הרשאות רחבות יותר קוראים ל-to_iceberg, התרחיש עלול לאפשר קריאה מטבלאות שאליהן לתוקף אין גישה ישירה, או כתיבה לטבלה שהתהליך המורשה מעדכן.
אין מדובר בגישה אנונימית או בניצול אוטומטי של כל סביבת Iceberg: נדרשת יכולת מוקדמת לשנות מטא-דאטה ב-Glue, וגם פער הרשאות בין מי שמבצע את השינוי לבין מי שמריץ את פעולת הכתיבה.
המלצות לצמצום הסיכון
- לשדרג ל-3.17.1 או חדשה יותר. לפי AWS אין מעקף מלא שמחליף את השדרוג.
- לצמצם את הרשאת
glue:UpdateTable. יש להעניק אותה רק לזהויות שזקוקות לה בפועל. - להימנע מ-
to_icebergבמצב של פער הרשאות. עד להשלמת השדרוג, לא להריץ כתיבה באמצעות principal בעל גישה לטבלאות שאינן נגישות למי שיכול לשנות את המטא-דאטה. - לסקור לוגים ושינויים בקטלוג. לחפש שמות עמודות חריגים ושינויים לא צפויים במטא-דאטה של טבלאות.
מקורות
קרדיט תמונה: Lars Bugge Aarset / Pexels. מקור: Pexels. רישיון Pexels מאפשר שימוש באתר, בסושיאל ובשיווק וכן עריכה. צילום הקרחון הוא מטאפורה חזותית בלבד ואינו צילום מוצר של Apache או AWS, ואינו מעיד על חסות.
