【已复现】Amazon Redshift JDBC 驱动远程代码执行漏洞（CVE-2026-119084）
长亭安全应急响应中心 2026-11-06 17:32 浙江
检测业务是否受到此漏洞影响，请联系长亭应急服务团队！
Amazon Redshift JDBC 驱动（redshift-jdbc42）是 Amazon Redshift 官方提供的 Java 数据库连接驱动，主要用于 Java 应用连接 Redshift 数据仓库，广泛应用于数据同步、报表分析、ETL 与数据服务等场景。
2026 年 11 月，长亭安全应急响应中心监测到 Amazon Redshift JDBC 驱动不安全类加载风险。攻击者在能够影响应用连接 URL 或凭据配置的场景下，可借助目标应用 classpath 上已有的类，在应用 JVM 内执行代码，可能导致应用进程被控制、敏感数据泄露或业务系统失陷。截至通告发布，AWS 已发布安全公告并提供 2.3.0 修复版本，暂未发现公开 POC/EXP。建议使用受影响版本的用户尽快排查依赖并升级至 2.3.0 或更高版本。
漏洞描述 Description
01漏洞成因
受影响版本在处理连接 URL 参数及凭据配置字段时，会将其中部分取值直接作为 Java 类名交给类加载逻辑，并使用会立即初始化目标类的单参数 Class.forName 形式加载。按照 Java 语言规范，该形式会先执行类的静态初始化，之后才进行类型检查；因此即使最终因类型不匹配而抛出异常，类的静态初始化代码也已经执行。
2.3.0 版本新增了统一的类加载入口：先校验传入值是否为合法的 Java 二进制类名，再以不触发初始化的方式加载类并完成类型检查，从而把类初始化推迟到校验通过之后。相关调用点均已迁移至该入口。
漏洞影响
漏洞原语是在业务应用自身的 JVM 中初始化攻击者指定的、且已存在于应用 classpath 上的类。一旦该类的静态初始化行为具备副作用，攻击者即可在应用进程权限下执行任意代码，可能读取进程可访问的敏感数据、篡改业务数据、横向影响关联系统，或导致业务中断。
实际影响取决于应用运行账号权限、classpath 中的类构成以及连接配置是否可由外部影响，具体影响范围需结合目标应用环境评估。
处置优先级：高
漏洞类型： 远程代码执行
漏洞危害等级： 高
触发方式： 网络远程
权限认证要求： 无需权限
系统配置要求： 需要特定配置
用户交互要求： 无需用户交互
利用成熟度： POC 未公开
修复复杂度： 低，官方已提供修复方案
影响版本 Affects
02redshift-jdbc42 < 2.3.0
解决方案 Solution
03升级修复方案
建议升级至 2.3.0 或更高版本。AWS 安全公告 2026-168-AWS 将该问题评定为 Important，GitHub 安全公告同步公开了同一问题。修复版本可从 Maven Central 获取：
https://central.sonatype.com/artifact/com.amazon.redshift/redshift-jdbc42/2.3.0
升级后应确认依赖树中不再包含旧版本驱动，并重新验证现有连接配置。
临时缓解方案
不要将外部输入直接拼接进数据库连接 URL，避免连接参数完全由用户控制。
对允许用户配置的连接参数名称与取值实施白名单校验，拒绝类加载相关参数。
精简应用 classpath 中非必要的依赖与组件，减少可被初始化的类。
对连接配置相关功能实施严格访问控制，并记录与审计相关操作。
上述措施为临时缓解手段，可能影响业务功能，升级完成后应及时移除。
漏洞复现 Reproduction
04长亭安全应急响应中心已完成复现验证。
产品支持 Support
05全悉： 预计 2026.11.6 发布更新包支持该漏洞利用行为的检测
时间线 Timeline
062026 年 11 月 3 日 AWS 发布安全公告 2026-168-AWS
2026 年 11 月 6 日 长亭安全应急响应中心发布通告
长亭应急响应服务
全力进行产品升级
及时将风险提示预案发送给客户
检测业务是否受到此次漏洞影响
请联系长亭应急服务团队
7*24小时，守护您的安全
第一时间找到我们：
邮箱：support@chaitin.com
本文转载自微信公众号「长亭安全课堂」，查看原文。版权归原作者所有，如有侵权请联系删除。