つみかさね

CVE-2026-8838

Critical(0)

CVE-2026-8838 — Amazon Redshift Python ドライバ eval() インジェクション RCE

公開日: 2026-06-04データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
redshift-connectorAmazon Web Services< 2.1.14

対応ガイド

high|対応必須セキュリティ修正影響: 広範

推奨アクション

  1. 1redshift-connector パッケージのバージョンを確認する（pip show redshift-connector）
  2. 2バージョンが 2.1.14 未満の場合、pip install --upgrade redshift-connector を実行する
  3. 3アップデート後、接続テストを実施して動作を確認する

影響対象

Amazon Redshift Python ドライバ利用者データパイプライン・ETL ツール利用者

補足

  • -eval() を使用している箇所の入力値検証も合わせて確認してください
CVEAWSPythonPyPIRCEevalredshift

概要

amazon-redshift-python-driver（PyPI パッケージ名: redshift-connector）に、eval() を用いたコードインジェクションによるリモートコード実行（RCE）の脆弱性が確認されました。攻撃者が細工されたデータを送り込むことで、ドライバを実行しているサーバー上で任意のコードを実行できる可能性があります。

AWS は本件をセキュリティ情報 2026-033-aws として公開しています。GHSA では Critical に分類されており、影響を受けるバージョンの利用者は早急なアップデートが推奨されます。

CVSSベクトル

CVSS スコアは本稿執筆時点で NVD による評価が未完了のため、数値は未確定です。GHSA 分類は Critical です。

項目内容
深刻度Critical（GHSA 分類）
脆弱性種別コードインジェクション（eval()）
攻撃経路ネットワーク（リモート）
CWECWE-94（コード生成の不適切な制御）

影響を受けるソフトウェア

製品名エコシステム影響バージョン
redshift-connectorPyPI< 2.1.14

修正バージョンと回避策

  • 修正バージョン: redshift-connector 2.1.14 以降
  • アップデート手順: 
    pip install --upgrade redshift-connector
  • 回避策: 信頼できないデータソースからの接続を制限する。パッチ適用が最優先です。

関連リンク

データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

関連する脆弱性

CVE-2026-33117Azure Key Vault Keys ライブラリ セキュリティ機能バイパスCVSS 0

参考リンク

GHSA:https://github.com/aws/amazon-redshift-python-driver/security/advisories/GHSA-29h4-r29x-hchv
NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-8838
AWS Security Bulletin:https://aws.amazon.com/security/security-bulletins/2026-033-aws
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。