Vulnérabilité dans software.amazon.jdbc:aws-advanced-jdbc-wrapper (CVE-2026-11400)
Résumé
Vulnérabilité dans software.amazon.jdbc:aws-advanced-jdbc-wrapper (CVE-2026-11400). L'exploitation peut entraîner la prise de contrôle totale du système. Exploitable via CacheResultSet. Atténuation : mise à jour vers 4.0.1 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Aurora PostgreSQL is a fully managed relational database engine that's compatible with PostgreSQL.
The team has identified CVE-2026-11400, an issue in Aurora PostgreSQL using the AWS Advanced JDBC Wrapper
Impact
An issue in AWS Wrappers for Amazon Aurora PostgreSQL will allow for privilege escalation to rds_superuser role. A low privilege authenticated user can create a crafted function that could be executed with permissions of other Amazon Relational Database Service (RDS) users.
Impacted versions: AWS Advanced JDBC Wrapper >= 3.0.0 and < 4.0.1
Patches
This issue has been addressed in AWS JDBC Wrapper v4.0.1. It is recommended to upgrade to the latest version and ensuring any forked or derivative code is patched to incorporate the new fixes.
Workarounds
Remove the public schema from the search path.
Resources
If there are any questions or comments about this advisory, contact [AWS/Amazon] Security via vulnerability reporting page or directly via email to aws-security@amazon.com. Please do not create a public GitHub issue.
Acknowledgement
AWS-JDBC Wrapper would like to thank x.com/ph0smet for collaborating on this issue through the coordinated vulnerability disclosure process.
Source: AWS Security Bulletins NVD GitHub Advisory
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-11400 a été découverte dans Amazon aws.
Des attaquants peuvent cibler un point d'entrée spécifique comme CacheResultSet à distance pour détourner le produit.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 8.0/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « Amazon aws CVE-2026-11400 » sur le site de l'éditeur.
CVE-2026-11400 (Amazon aws) — CWE-426 / CVSS v3 8.0
Vecteur d'attaque : distant (réseau)
Surface d'attaque : CacheResultSet
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
AWS Wrappers for Amazon Aurora PostgreSQLにおける特権昇格の脆弱性
AWS Advanced JDBC Wrapper >=3.0.0と<4.0.1、およびAWS Advanced Go Wrapper 2026-04-06リリース
低権限の認証ユーザーが、他のRDSユーザーの権限でコードを実行できるため、非常に深刻
AWS Advanced JDBC Wrapperをバージョン4.0.1以上にアップデート
情報なし
影響のあるバージョンを使用しているか確認する
Paquets affectés
Références
- advisory nvd.nist.gov
- AWS aws.amazon.com
- package github.com
- web aws.amazon.com
- web github.com
- web cve.org
- web github.com
- web aws.amazon.com
- web github.com