Amazon Web Services hat offiziell ein Sicherheitsbulletin veröffentlicht, das eine Schwachstelle bei der Zuweisung von Berechtigungen mit der Kennung CVE-2026-75910 in der Bereitstellungsvorlage für den Athena Federated Query ClickHouse Connector behandelt. Die am 20.08.2026 öffentlich bekannt gegebenen und unter der Bulletin-ID 2026-084-AWS geführten Hinweise unterstreichen ein wichtiges Risikoprofil, das ein zeitnahes administratives Eingreifen erfordert.
Grundlegendes zu Athena Query Federation und dem ClickHouse Connector
Amazon Athena fungiert als serverloser, interaktiver Abfragedienst, der die Datenanalyse direkt in Amazon Simple Storage Service unter Verwendung von Standard-SQL-Syntax ermöglichen soll. Zur Erweiterung der analytischen Funktionen ermöglicht Athena Query Federation Unternehmen die Verbindung verschiedener Datenumgebungen – darunter DynamoDB, Azure Synapse und benutzerdefinierte Integrationen – über SQL-Standardausdrücke. Diese Connector sind als Open-Source-Projekte aufgebaut und werden im Athena-Dienst bereitgestellt.
Der Sicherheitshinweis weist jedoch darauf hin, dass Versionen der ClickHouse-Connector-Bereitstellungsvorlage, die vor der Version v2026.17.1 veröffentlicht wurden, einen Fehler bei der fehlerhaften Zuweisung von Berechtigungen aufweisen. Dieses strukturelle Versäumnis öffnet ein Sicherheitsrisiko, über das authentifizierte Remotebenutzer potenziell sensible Daten lesen können, die sich innerhalb des bereitstellenden AWS-Kontos befinden.
Mechanismus der Schwachstelle und mögliche Auswirkungen
Der im Rahmen von CVE-2026-75910 ausgenutzte Sicherheitsmechanismus beinhaltet die Manipulation von Verbindungsparametern während Abfragevorgängen. Konkret kann ein authentifizierter Remotebenutzer beliebige Geheimnisse anvisieren, die in AWS Secrets Manager innerhalb des bereitstellenden Kontos gespeichert sind. Durch die Konfiguration der Verbindungszeichenfolge des Connectors, sodass sie auf ein nicht zusammenhängendes Geheimnis neben einem Datenbankendpunkt unter direkter Kontrolle des Benutzers verweist, überträgt der Connector das Zielgeheimnis unbeabsichtigt direkt an den vom Angreifer kontrollierten Endpunkt.
Wichtige technische Erkenntnisse hinsichtlich des Umfangs und der Schwachstellenparameter umfassen:
- Bulletin-ID: 2026-084-AWS
- Betroffener Bereich: Amazon Web Services (AWS) Athena Query Federation
- Art der Schwachstelle: Falsche Zuweisung von Berechtigungen (Incorrect Privilege Assignment)
- Betroffene Softwareversionen: Connector-Bereitstellungen vor v2026.17.1
- Zugehörige CVE: CVE-2026-75910
Mitigierung und erforderliche Maßnahmen
Cloud-Administratoren und Datenbankingenieure, die den Athena Federated Query ClickHouse Connector verwenden, müssen ihre aktuellen Bereitstellungsversionen sofort überprüfen. Da Versionen, die älter als v2026.17.1 sind, diesen Fehler enthalten, ist ein Upgrade auf die gepatchte Version unerlässlich, um unbefugte Vektoren zur Übertragung von Geheimnissen zu beseitigen. Unternehmen sollten offizielle AWS-Sicherheitshinweise konsultieren, um Schritt-für-Schritt-Anweisungen zur Aktualisierung zu erhalten.
Quelle: Originalartikel
