--- title: "Amazon Redshift JDBC Driver に安全でないリフレクション（CVE-2026-119084）: CVSS v4.0 9.2、2.3.0 より前で接続設定を操作できる者が任意コードを実行" url: https://n-t-p.io/worldsecurity/articles/amazon-redshift-jdbc-cve-2026-119084-unsafe-reflection lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 緊急 cve: CVE-2026-119084 --- # Amazon Redshift JDBC Driver に安全でないリフレクション（CVE-2026-119084）: CVSS v4.0 9.2、2.3.0 より前で接続設定を操作できる者が任意コードを実行 > **TL;DR:** Amazon Redshift JDBC Driver 2.3.0 より前で、接続 URL や AWS 資格情報プロファイルを操作できる者が、安全でないリフレクションによりアプリの権限で任意コードを実行できる可能性がある欠陥（CVE-2026-119084、CVSS v4.0 9.2）。認証不要で 9 以上のため critical。ただし適したクラスがクラスパスにあることなどが前提。KEV 未掲載、EPSS はデータなし。悪用の有無・修正の完全性は未確認。 **要点** - 接続パラメーターと資格情報プロファイルの処理に安全でないリフレクションがあり、これらを操作できる者が任意コードを実行できる可能性がある（CVE-2026-119084）。CVSS v4.0 は 9.2（PR:N、AT:P、評価元 AWS）。 - 適したクラスがアプリのクラスパスにあることが条件。CVSS v3.1 は 8.1（AC:H）。 - 対象は 2.3.0 より前。2.3.0 以降へ更新する。 - EPSS はデータなし、KEV には載っていない（2026-11-04 時点）。 - 悪用の有無、概念実証の公開、NVD の最終評価は未確認。 AWS の Redshift 用 JDBC ドライバー（Amazon Redshift JDBC Driver）に、安全でないリフレクション（CWE-470）の欠陥（CVE-2026-119084）があると、2026-11-03 に NVD へ登録されました。2.3.0 より前の版が対象です。接続パラメーターと AWS 資格情報プロファイルの処理に問題があり、JDBC の接続 URL か資格情報プロファイルに影響できる者が、アプリケーションの権限で任意のコードを実行できる可能性があります。ただし、適したクラスがアプリのクラスパスにあることが条件とされています。 ## 何が起きるか NVD の説明によると、次のとおりです。 - ドライバーが接続パラメーターや資格情報プロファイルの指定からクラスを読み込む処理で、読み込み先を十分に制限していない。 - 接続 URL か資格情報プロファイルを操作できる者が、クラスパス上の適したクラスを使って任意のコードを実行できる可能性がある。 - 影響はドライバーを組み込んだアプリケーションの権限に及ぶ。 ## 数値と severity - CVSS v4.0 は 9.2（CRITICAL）。ベクターは AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H で、ネットワークから認証・利用者の操作なしに影響が高く、攻撃に特定の前提（AT:P）が要ることを示します。評価元は AWS で、NVD 上は Secondary です。 - CVSS v3.1 は 8.1（HIGH。AV:N/AC:H/PR:N/UI:N）で、攻撃の複雑さが高いと評価されています。 - NVD の状態は Received（2026-11-04 時点）で、NVD 自身の評価はまだありません。 - 認証が不要で v4.0 が 9 以上のため、severity は critical とします。ただし、前提条件（接続 URL などを操作できること、適したクラスがあること）が要るため、実際の危険度は利用環境によって大きく変わります。 - FIRST の EPSS はデータなし（算出前）。CISA の KEV には載っていません（2026-11-04 時点）。 ## 対策 - Redshift JDBC Driver を 2.3.0 以降に更新する。 - 利用者の入力や外部の設定ファイルから、JDBC の接続 URL や AWS 資格情報プロファイルの内容を組み立てていないか確認する。組み立てている場合は、許可する値を固定する。 - アプリのクラスパスに、不要なライブラリが入っていないか見直す。 - AWS のセキュリティ情報（2026-168-aws）は本稿では開いておらず、追加の回避策があるかは確認できていません。 ## 未確認の点 - 実際に悪用されているか、概念実証コードが公開されているか。 - 悪用に使える具体的なクラスや、影響を受けやすい利用形態。 - 2.3.0 で修正が完全か。 - NVD の最終評価、EPSS。 ## 出典 - NVD: CVE-2026-119084 - AWS セキュリティ情報 2026-168-aws（NVD の参照先。未開封） - amazon-redshift-jdbc-driver v2.3.0 リリース（NVD の参照先。未開封） - GitHub の勧告 GHSA-qrph-v96m-w2mv（NVD の参照先。未開封） ## 出典 - [NVD CVE-2026-119084](https://nvd.nist.gov/vuln/detail/CVE-2026-119084) — NIST NVD - [AWS セキュリティ情報 2026-168-aws（NVD の参照先。未開封）](https://aws.amazon.com/security/security-bulletins/2026-168-aws/) — AWS - [amazon-redshift-jdbc-driver v2.3.0 リリース（NVD の参照先。未開封）](https://github.com/aws/amazon-redshift-jdbc-driver/releases/tag/v2.3.0) — GitHub - [GHSA-qrph-v96m-w2mv（NVD の参照先。未開封）](https://github.com/aws/amazon-redshift-jdbc-driver/security/advisories/GHSA-qrph-v96m-w2mv) — GitHub - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-119084) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/amazon-redshift-jdbc-cve-2026-119084-unsafe-reflection