CVE-2026-35560
WysokieCVSS 7.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Nieprawidłowa walidacja certyfikatów w komponentach połączenia z dostawcą tożsamości w sterowniku Amazon Athena ODBC przed wersją 2.1.0.0 może pozwolić atakującemu typu man-in-the-middle na przechwycenie danych uwierzytelniających z powodu niewystarczającego domyślnego bezpieczeństwa transportu. Dotyczy to wyłącznie połączeń z zewnętrznymi dostawcami tożsamości, a nie połączeń z Athena.
Ocena ryzyka
Atakujący w pozycji man-in-the-middle może przechwycić dane uwierzytelniające użytkownika, co może prowadzić do nieautoryzowanego dostępu. Ryzyko ogranicza się do scenariuszy z zewnętrznymi dostawcami tożsamości.
Rekomendacja
Zaktualizuj sterownik Amazon Athena ODBC do wersji 2.1.0.0 lub nowszej. Upewnij się, że połączenia z dostawcami tożsamości używają prawidłowej walidacji certyfikatów.
Inne podatności w Amazon Athena ODBC driver
Zobacz wszystkie- CVE-2026-5485Wysokie
Wstrzyknięcie poleceń systemu operacyjnego w komponencie uwierzytelniania opartego na przeglądarce w sterowniku Amazon Athena ODBC przed wersją 2.0.5.1 w systemie Linux może pozwolić atakującemu na wykonanie dowolnego kodu poprzez specjalnie spreparowane parametry połączenia ładowane przez sterownik podczas lokalnego połączenia inicjowanego przez użytkownika.
- CVE-2026-35562Wysokie
Przydział zasobów bez ograniczeń w komponentach parsujących w sterowniku Amazon Athena ODBC przed wersją 2.1.0.0 może pozwolić atakującemu na wywołanie odmowy usługi poprzez dostarczenie spreparowanych danych wejściowych powodujących nadmierne zużycie zasobów podczas operacji parsowania.
- CVE-2026-35561Wysokie
Niewystarczające mechanizmy uwierzytelniania w komponentach uwierzytelniania opartego na przeglądarce w sterowniku Amazon Athena ODBC przed wersją 2.1.0.0 mogą pozwolić atakującemu na przechwycenie lub przejęcie sesji uwierzytelniania z powodu niewystarczających zabezpieczeń w tych przepływach.
- CVE-2026-35559Średnie
Zapis poza granicami bufora w komponentach przetwarzania zapytań w sterowniku Amazon Athena ODBC przed wersją 2.1.0.0 może pozwolić atakującemu na zawieszenie sterownika poprzez specjalnie spreparowane dane przetwarzane podczas operacji zapytań.
- CVE-2026-35558Wysokie
Sterownik Amazon Athena ODBC przed wersją 2.1.0.0 nieprawidłowo neutralizuje specjalne elementy w komponentach uwierzytelniania. Może to pozwolić atakującemu na wykonanie dowolnego kodu lub przekierowanie przepływu uwierzytelniania przy użyciu specjalnie spreparowanych parametrów połączenia przetwarzanych przez sterownik podczas uwierzytelniania inicjowanego przez użytkownika.
Oryginalny opis (angielski, źródło NVD)
Improper certificate validation in the identity provider connection components in Amazon Athena ODBC driver before 2.1.0.0 might allow a man-in-the-middle threat actor to intercept authentication credentials due to insufficient default transport security when connecting to identity providers. This only applies to connections with external identity providers and does not apply to connections with Athena. To remediate this issue, users should upgrade to version 2.1.0.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS