Непроверенное владение местоположением кластерного журнала по умолчанию в модуле EMR в AWS SDK для панд (awswrangler) из 1.1.0 до 3.18.0 может позволить удаленным игрокам читать журналы кластера Amazon EMR, включая вывод шага задания, через предварительно созданное ведро S3. Чтобы исправить эту проблему, пользователи должны обновиться до версии 3.18.0 или более поздней. Пользователи, которые не могут обновиться сразу, должны передать явное местоположение журнала или создать ведро журнала EMR по умолчанию в своей учетной записи в каждом регионе, который они используют.
Показать оригинальное описание (EN)
Unverified ownership of the default cluster log location in the EMR module in AWS SDK for pandas (awswrangler) from 1.1.0 before 3.18.0 might allow remote actors to read Amazon EMR cluster logs, including job step output, via a pre-created S3 bucket. To remediate this issue, users should upgrade to version 3.18.0 or later. Users who can't upgrade immediately should pass an explicit log location, or create the default EMR log bucket in their own account in each region they use.
Характеристики атаки
Последствия
Строка CVSS v4.0