CVE-2026-8178 – Remote-Codeausführung durch unsicheres Laden von Klassen im Amazon-Redshift-JDBC-Treiber
Bulletin-ID: 2026-028-AWS
Geltungsbereich: AWS
Inhaltstyp: Wichtig (erfordert Aufmerksamkeit)
Veröffentlichungsdatum: 08.05.2026, 11.45 Uhr PDT
Beschreibung:
Amazon-Redshift-JDBC-Treiber ist ein JDBC-Treiber vom Typ 4, der Datenbankkonnektivität über die standardmäßigen JDBC-Anwendungsprogrammschnittstellen (APIs) bereitstellt. Wir haben ein Problem in Amazon-Redshift-JDBC-Treiberversionen vor 2.2.2 festgestellt. Unter bestimmten Bedingungen konnte der Treiber bei der Verarbeitung von JDBC-Verbindungs-URL-Parametern beliebige Klassen laden und ausführen. Ein Akteur, der die Verbindungs-URL beeinflussen kann, könnte möglicherweise Code im Anwendungskontext ausführen.
Betroffene Versionen: Amazon-Redshift-JDBC-Treiber < 2.2.2
Lösung:
Dieses Problem wurde in der Amazon-Redshift-JDBC-Treiberversion 2.2.2 behoben. Wir empfehlen, ein Upgrade auf die neueste Version vorzunehmen und dafür zu sorgen, dass jeder geforkte oder derivative Code gepatcht wird, damit die neuen Fehlerbehebung integriert sind.
Referenzen:
Danksagung:
Wir möchten Fushuling für die Zusammenarbeit bei der Problemlösung im Rahmen des koordinierten Offenlegungsprozesses von Problemen danken.
Bei Fragen oder Bedenken zum Thema Sicherheit senden Sie bitte eine E-Mail an aws-security@amazon.com.