Amazon Neptune: Deserialisierung nicht vertrauenswürdiger Daten im Gremlin-Graph-Import

Zusammenfassung

Amazon Neptune, der verwaltete Graphdatenbank-Dienst von AWS, enthält eine Schwachstelle bei der Deserialisierung im Gremlin-Graph-Importpfad, erfasst als CVE-2026-110812. Ein authentifizierter Benutzer mit standardmässigen Abfrageberechtigungen (neptune-db) kann eine präparierte Anfrage senden, die dazu führt, dass die Abfrage-Engine nicht vertrauenswürdige Eingaben unsicher verarbeitet. Laut CVE-Eintrag könnten so Codeausführung und Zugriff auf interne Dienst-Zugangsdaten möglich sein. Ein Angriff setzt gültige Datenbank-Zugangsdaten voraus, und AWS hat das Problem in gepatchten Engine-Versionen behoben.

Betroffen

• Amazon Neptune Engine 1.2.0.0 und neuer (gemäss AWS-Bulletin 2026-136-AWS)
• Der CVE-Eintrag führt 1.2.0.0 bis unter 1.5.0.0 als betroffen auf, 1.4.7.1 und 1.4.8.1 als nicht betroffen

Behoben in

• Amazon Neptune Engine 1.4.7.1 (Backport auf der 1.4.x-Linie)
• Amazon Neptune Engine 1.4.8.1
• Amazon Neptune Engine 1.5.0.0

Unbekannt: ob Builds zwischen 1.2.0.0 und den gepatchten Versionen behoben sind. Keine andere Version gilt als sicher.

Umgehung

• Bis zum Upgrade neptune-db-Abfrageberechtigungen nur vertrauenswürdigen Principals erteilen und das Least-Privilege-Prinzip anwenden.
• Dies ist nur eine Übergangsmassnahme. AWS empfiehlt, den DB-Cluster auf eine gepatchte Engine-Version zu aktualisieren.

Ausnutzung

• Im CVE-Eintrag und im AWS-Bulletin wird keine Ausnutzung in freier Wildbahn erwähnt.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• In der Recherche wurde kein öffentlicher Proof-of-Concept-Code gefunden.

Unsere Empfehlung

• Prüfen, ob Neptune-Cluster im Einsatz sind und welche Engine-Version sie verwenden.
• Vorher einen manuellen Snapshot erstellen, dann auf 1.4.7.1, 1.4.8.1 oder 1.5.0.0 der passenden Engine-Linie aktualisieren. Das automatische Minor-Version-Upgrade spielt den Fix im nächsten Wartungsfenster ein.
• Die Inhaber von neptune-db-Abfrageberechtigungen prüfen und reduzieren.
• Sicherstellen, dass der Cluster nicht aus nicht vertrauenswürdigen Netzen erreichbar ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• AWS Security Bulletin 2026-136-AWS aws.amazon.com
• Amazon Neptune engine release 1.4.7.1 docs.aws.amazon.com
• Amazon Neptune engine release 1.4.8.1 docs.aws.amazon.com
• Amazon Neptune engine release 1.5.0.0 docs.aws.amazon.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:01.