脆弱性・CVE速報深刻度: 緊急

Amazon Redshift JDBC Driver に安全でないリフレクション（CVE-2026-119084）: CVSS v4.0 9.2、2.3.0 より前で接続設定を操作できる者が任意コードを実行

World Security 編集部2026年11月7日公開

目次（5）

CVE-2026-119084

AWS の Redshift 用 JDBC ドライバー（Amazon Redshift JDBC Driver）に、安全でないリフレクション（CWE-470）の欠陥（CVE-2026-119084）があると、2026-11-03 に NVD へ登録されました。2.3.0 より前の版が対象です。接続パラメーターと AWS 資格情報プロファイルの処理に問題があり、JDBC の接続 URL か資格情報プロファイルに影響できる者が、アプリケーションの権限で任意のコードを実行できる可能性があります。ただし、適したクラスがアプリのクラスパスにあることが条件とされています。

何が起きるか

NVD の説明によると、次のとおりです。

ドライバーが接続パラメーターや資格情報プロファイルの指定からクラスを読み込む処理で、読み込み先を十分に制限していない。
接続 URL か資格情報プロファイルを操作できる者が、クラスパス上の適したクラスを使って任意のコードを実行できる可能性がある。
影響はドライバーを組み込んだアプリケーションの権限に及ぶ。

数値と severity

CVSS v4.0 は 9.2（CRITICAL）。ベクターは AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H で、ネットワークから認証・利用者の操作なしに影響が高く、攻撃に特定の前提（AT:P）が要ることを示します。評価元は AWS で、NVD 上は Secondary です。
CVSS v3.1 は 8.1（HIGH。AV:N/AC:H/PR:N/UI:N）で、攻撃の複雑さが高いと評価されています。
NVD の状態は Received（2026-11-04 時点）で、NVD 自身の評価はまだありません。
認証が不要で v4.0 が 9 以上のため、severity は critical とします。ただし、前提条件（接続 URL などを操作できること、適したクラスがあること）が要るため、実際の危険度は利用環境によって大きく変わります。
FIRST の EPSS はデータなし（算出前）。CISA の KEV には載っていません（2026-11-04 時点）。

対策

Redshift JDBC Driver を 2.3.0 以降に更新する。
利用者の入力や外部の設定ファイルから、JDBC の接続 URL や AWS 資格情報プロファイルの内容を組み立てていないか確認する。組み立てている場合は、許可する値を固定する。
アプリのクラスパスに、不要なライブラリが入っていないか見直す。
AWS のセキュリティ情報（2026-168-aws）は本稿では開いておらず、追加の回避策があるかは確認できていません。