CVE-2026-118029
Publiée le 2026-10-28 · Dernière modification le 2026-10-28
Les versions d'AWS SDK for pandas (awswrangler) antérieures à la 3.16.1 sont concernées. Cette bibliothèque est utilisée pour intégrer des dataframes pandas aux services AWS, plus précisément via le module Athena pour exécuter des requêtes SQL sur des données S3. La faille provient du fait que la bibliothèque ne vérifie pas le propriétaire du compartiment S3 par défaut où Athena stocke les résultats de ses requêtes.
Un attaquant ayant préalablement créé un compartiment à l'emplacement par défaut peut lire les résultats de vos requêtes ou altérer les données renvoyées à votre application. Cela compromet la confidentialité et l'intégrité de vos données. Bien que cela nécessite un accès réseau, l'exécution est relativement simple si un utilisateur est amené à interagir avec une configuration malveillante, et aucune authentification préalable n'est requise.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Unverified ownership of the default query result location in the Athena module in AWS SDK for pandas (awswrangler) before 3.16.1 might allow remote actors to read Athena query results and tamper with result sets returned to the caller via a pre-created S3 bucket. To remediate this issue, users should upgrade to version 3.16.1 or later. Users should also verify that the default Athena result bucket in each account and region is owned by their own account, and set an explicit result location or enforce a workgroup result configuration.