AWS CDK @aws-cdk/aws-redshift-alpha: SQL-Injection in Datenbankabfrage-Handlern
Zusammenfassung
Die experimentellen Redshift-Konstrukte des AWS Cloud Development Kit (CDK) erstellen SQL-Anweisungen aus Benutzernamen, Kommentaren und Passwörtern ohne ausreichende Bereinigung. Ein Angreifer, der Eigenschaftswerte der Konstrukte beeinflussen kann, kann während der Bereitstellung SQL-Anweisungen mit Superuser-Rechten von Amazon Redshift ausführen, einschliesslich des Zugriffs für alle Cluster-Benutzer. Die Ausnutzung setzt voraus, dass Eingabewerte der CDK-Anwendung beeinflusst werden können, daher ist die Exposition auf Bereitstellungspipelines mit unvertrauenswürdigen Eingaben begrenzt.
Betroffen
- @aws-cdk/aws-redshift-alpha Versionen vor 2.274.0-alpha.0
- Standard: nicht betroffen laut CVE-Eintrag
Behoben in
- Auf @aws-cdk/aws-redshift-alpha 2.274.0-alpha.0 oder neuer aktualisieren (AWS-Bulletin nennt Version 2.274.0)
Umgehung
- Nur vertrauenswürdige, durch Entwickler erfasste Werte für Benutzernamen, Kommentare und Passwörter in diesen Konstrukten verwenden
- Bestehende Tabellenberechtigungen für PUBLIC überprüfen
Ausnutzung
- AWS gibt nicht an, dass die Schwachstelle ausgenutzt wird
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
- Laut einem Drittanbieter nicht im CISA-KEV-Katalog (unbestätigt)
- Kein öffentlicher Exploit bekannt; eine nicht verifizierte Aggregatorquelle erwähnt eine öffentliche Scan-Vorlage
Unsere Empfehlung
- Repositories und Lockfiles auf @aws-cdk/aws-redshift-alpha-Versionen unter 2.274.0-alpha.0 prüfen und aktualisieren
- Interne Forks oder kopierte Konstrukte prüfen und ebenfalls patchen
- Tabellenberechtigungen für PUBLIC auf Redshift-Clustern überprüfen, die mit diesen Konstrukten bereitgestellt wurden
- Sicherstellen, dass Bereitstellungseingaben wie Namen, Kommentare und Passwörter nur aus vertrauenswürdigen Quellen stammen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- AWS Security Bulletin 2026-151-AWS aws.amazon.com
- GitHub Security Advisory GHSA-25hh-xvj4-2cqv github.com
- AWS CDK Release v2.274.0 github.com
- VulDB entry CVE-2026-115418 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 03.11.2026 22:06.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.