🇰🇷 한글 설명
Amazon Athena Query Federation의 Synapse 커넥터에서 SQL 명령에 사용되는 특수 문자를 적절히 중화하지 못하는 취약점이 발견되었습니다. 인증된 원격 사용자가 조작된 테이블 이름을 통해 삽입된 읽기 전용 SQL 쿼리를 실행하여 연결된 데이터베이스에서 의도하지 않은 데이터를 탈취할 수 있습니다.
💡 쉬운 설명
데이터베이스에 연결해주는 도구의 이름 입력 칸에 악의적인 명령어를 섞어 넣을 수 있는 문제입니다. 이를 통해 공격자는 허가되지 않은 데이터를 몰래 읽어갈 수 있습니다.
🇺🇸 원문 (English)
Amazon Athena is a serverless, interactive query service that lets you analyze data directly in Amazon S3 using standard SQL. Athena Query Federation is a feature that allows you to connect to data sources outside of Amazon S3 like DynamoDB, Azure Synapse, and custom connectors using standard SQL syntax.
Improper neutralization of special elements used in an SQL command in the Synapse connector in Amazon aws-athena-query-federation v2022.20.1 through v2026.19.1 might allow an authenticated remote user to execute injected read-only SQL queries that return unintended data from the connected database via a crafted table name.
To remediate this issue, users should upgrade to version v2026.21.1 or later.
📍 영향받는 시스템
Amazon aws-athena-query-federation v2022.20.1 ~ v2026.19.1
⚔️ 공격 벡터
조작된 테이블 이름을 이용한 SQL 인젝션 공격
🛡️ 대응 방법
aws-athena-query-federation 버전을 v2026.21.1 이상으로 업그레이드
🔧 검증 코드
출력된 버전이 v2026.21.1보다 낮으면 취약한 상태입니다.
pip show aws-athena-query-federation | grep Version