XXE (Entité XML externe) dans Amazon AWS Advanced JDBC Wrapper RemoteQueryCachePlugin (CVE-2026-18061)
Résumé
Vulnérabilité dans Amazon AWS Advanced JDBC Wrapper RemoteQueryCachePlugin (CVE-2026-18061). Des informations confidentielles peuvent être exposées.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Bulletin ID: 2026-109-AWS Scope: AWS Content Type: Important (requires attention) Publication Date: 09/11/2026 09:30 AM PDT Description: The AWS Advanced JDBC Wrapper is an open-source library that enhances existing JDBC drivers with AWS-specific capabilities such as Aurora failover, IAM authentication, and automated SQL query caching for applications connecting to Amazon Aurora, RDS MySQL, and RDS MariaDB. We identified CVE-2026-18061, an improper restriction of XML external entity (XXE) references in the optional RemoteQueryCachePlugin. When this plugin is enabled with a shared cache, an actor with write access to that cache infrastructure might place crafted XML in a cached column value. When an application subsequently reads that cached result as XML, the wrapper's XML parsers resolve external entities, which might allow the actor to disclose sensitive files readable by the application process, including stored database and IAM role credentials. Impacted versions: >= 3.3.0 and
Source: AWS Security Bulletins NVD
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-18061 a été découverte dans Amazon AWS Advanced JDBC Wrapper RemoteQueryCachePlugin.
Des informations confidentielles peuvent être exposées. Score CVSS : 5.9/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « Amazon AWS Advanced JDBC Wrapper RemoteQueryCachePlugin CVE-2026-18061 » sur le site de l'éditeur.
CVE-2026-18061 (Amazon AWS Advanced JDBC Wrapper RemoteQueryCachePlugin) — CWE-611 / CVSS v3 5.9
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-611) affecte Amazon AWS Advanced JDBC Wrapper RemoteQueryCachePlugin.
Consultez l'avis de l'éditeur pour les versions affectées de Amazon AWS Advanced JDBC Wrapper RemoteQueryCachePlugin.
Gravité : Moyenne (CVSS 5.9/10). Des informations confidentielles peuvent être exposées.
Mettre à jour vers la version corrigée selon l'avis éditeur.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
Audit SBOM/dependencies for affected components.資産台帳・SBOM・依存マニフェストで Amazon AWS Advanced JDBC Wrapper RemoteQueryCachePlugin を使っているサービスとバージョンを洗い出す。
-
2Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Références
- AWS aws.amazon.com
- patch aws.amazon.com
- patch github.com
- patch github.com