CVE-2026-65321: Kritisk SQL-injektion i PyAthena

CVE-2026-65321 er en SQL-injektion, en sårbarhed hvor angribere kan indsætte deres eget databasekode i et system, i Python-biblioteket PyAthena, som bruges til at forbinde til AWS Athena, en tjeneste til at forespørge store datamængder. Fejlen ligger i den funktion, der skal beskytte mod farlige tegn i brugerinput. Funktionen bruger backslash til at maskere anførselstegn, men både Athena og Trino, det underliggende forespørgselssystem, opfatter ikke backslash som et escape-tegn i tekststrenge. Det betyder, at et enkelt anførselstegn i inputtet kan afslutte tekststrengen for tidligt og give angriberen mulighed for at tilføje sin egen SQL-kode. Fejlen findes i funktioner, der bygger DELETE-forespørgsler og CTAS-forespørgsler, som er kommandoer der opretter nye tabeller ud fra et forespørgselsresultat.

Sårbarheden rammer alle virksomheder, der bruger PyAthena i versioner ældre end 3.35.4 til at tilgå AWS Athena, typisk i datapipelines, BI-løsninger, rapporteringsværktøjer eller interne dashboards, hvor brugerinput sendes videre til databaseforespørgsler. Det gælder både udviklingsteams, der har bygget egne integrationer, og virksomheder, der bruger tredjepartsværktøjer med PyAthena som afhængighed.

En angriber, der ikke behøver at være logget ind, kan indsætte skadelig SQL-kode gennem et almindeligt inputfelt, for eksempel et søgefelt eller en filterfunktion, der bruger PyAthena til at hente data. Det kan give adgang til at læse data fra andre tabeller end de tilsigtede via UNION SELECT, en teknik til at kombinere resultater fra flere tabeller, slette eller ændre data med DELETE-kommandoer, og oprette nye tabeller med indhold og placering, angriberen selv bestemmer. I praksis kan det betyde læk af kundedata, økonomital eller andre fortrolige oplysninger, samt destruktion af data virksomheden er afhængig af.

CVSS-scoren er 9,8 ud af 10, hvilket er kritisk. Angrebet kræver ingen login og ingen handling fra en bruger, og det kan udføres over netværket med lav kompleksitet. Konsekvensen rammer fortrolighed, integritet og tilgængelighed i højeste grad, det vil sige, at angriberen kan læse, ændre og slette data. Der er ikke oplyst aktiv udnyttelse i det åbne, men den offentliggjorte beskrivelse er detaljeret nok til, at en angriber kan bygge et angreb ud fra den.

Sårbarheden lukkes ved at opdatere PyAthena. Følg disse skridt:

1. Opdatér PyAthena til version 3.35.4 eller nyere i alle systemer, der bruger biblioteket, herunder interne scripts, datapipelines og tredjepartsværktøjer.
2. Gennemgå kode, der bygger DELETE- og CTAS-forespørgsler med brugerinput, og bekræft at parametrene nu formateres korrekt efter opdateringen.
3. Tjek logfiler for Athena- og Trino-forespørgsler for usædvanlige forespørgsler med UNION SELECT eller uventede anførselstegn, som kan indikere tidligere udnyttelse.
4. Begræns Athena-brugerens rettigheder til kun de tabeller og handlinger, der er nødvendige, så en eventuel udnyttelse har mindre skadevirkning.
5. Har I ikke selv udviklerressourcer til at gennemgå integrationerne, bør I inddrage en ekstern sikkerhedsrådgiver til at verificere opdateringen og gennemgå adgangsrettighederne.