AWSは2026年10月16日(日本時間)、Amazon Neptuneのデータ取込処理に関する脆弱性「CVE-2026-110812」を公表しました。悪用には認証とクエリを実行する権限が必要ですが、特定の条件でクエリエンジン内の意図しない動作につながる恐れがあります。修正版は公開されており、利用企業はエンジンのバージョンと更新方法の確認が必要です。
認証済みの利用者による要求が悪用の条件
Amazon Neptuneは、AWSが管理するグラフデータベースサービスです。今回の問題は、NeptuneのGremlin機能が使うApache TinkerPopにあります。
問題となるのは、Gremlinでグラフを取り込む際のデシリアライズ処理です。デシリアライズとは、保存や受け渡し用のデータを、プログラムが扱える形に戻す処理を指します。信頼できないデータをこの経路で処理すると、特定の条件下で入力が安全でない形で扱われる可能性があります。
AWSによると、悪用には認証済みであることに加え、Neptuneのデータプレーン、つまりクエリを実行するための権限が必要です。認証なしで悪用できる問題としては説明されていません。一方、権限を持つ利用者やシステムに対するアクセス制御は、更新までの対応でも重要になります。
修正版は3つ、自動更新の設定で対応が分かれる
発表の影響対象バージョンの表記は「>=1.2.0.0」です。一方、AWSはエンジン1.4.7.1、1.4.8.1、1.5.0.0で修正済みとしています。対象表記だけで判断せず、修正版の情報と併せて確認する必要があります。
AWSは、利用中のエンジン系列に対応する修正版へDBクラスターを更新するよう推奨しています。自動マイナーバージョンアップが有効な場合は、次回のメンテナンス枠で更新が適用される予定です。バージョンを手動で管理している利用者には、手動更新を求めています。
自動更新が有効でも、設定を確認した時点で修正済みとは限りません。適用予定と、実際に稼働しているバージョンを分けて確認することが大切です。日本での修正版の提供状況や対象リージョンは、発表には書かれていません。
影響する会社・しない会社
- 影響する: Amazon Neptuneを利用し、影響対象表記に該当するエンジンを稼働させている会社です。修正済みバージョンとの照合が必要です。
- 影響する: Neptuneのエンジンを手動管理し、未修正の影響対象バージョンを利用している会社です。自動更新を待つのではなく、利用系列に対応する修正版への更新を進める必要があります。
- 影響しない: Amazon Neptuneを利用していない会社は、今回のNeptune向けDBクラスター更新の対象ではありません。他のサービスへの影響は、発表には書かれていません。
- 影響しない: エンジン1.4.7.1、1.4.8.1、1.5.0.0で稼働している環境は、AWSが修正済みとしています。ただし、更新予定だけでなく適用結果を確認してください。
情シスが今日やること
以下は、AWSの推奨を踏まえた社内確認の手順です。
- 今日、利用環境を一覧にします。 Neptuneを管理する担当者や委託先に、DBクラスターごとの稼働エンジンバージョンと管理担当者の確認を依頼します。管理に使っている画面や運用台帳で、修正版との照合に必要な情報をそろえてください。
- 更新方法と予定を確認します。 クラスターごとに、自動マイナーバージョンアップの有効・無効と次回メンテナンス枠を確認します。未修正の対象環境で自動更新が有効なら適用予定を担当者に共有し、手動管理なら利用系列に対応する修正版への更新日を決めます。
- 更新までの権限を点検します。 アクセス権を管理する担当者と、neptune-db権限の付与先を確認します。AWSは最小権限を徹底し、信頼できる主体だけに権限を付与するよう推奨しています。不要な付与がないか、利用部門にも確認を依頼してください。
- 更新後の確認担当を決めます。 更新予定を記録するだけで終えず、適用後に稼働バージョンを確認する担当者と確認日を決めます。結果はシステムの運用責任者に共有し、未更新のクラスターが残っていないか確認してください。
