01 · Contexto
Qué está ocurriendo
Hechos: AWS publicó el 28 de octubre de 2026 el aviso CVE-2026-118029 sobre AWS SDK for pandas, conocido como awswrangler. El módulo Athena podía utilizar una ubicación predeterminada de resultados sin verificar su propiedad. Según el proveedor, un bucket S3 creado anticipadamente por otro actor podía permitirle leer resultados y modificar los conjuntos devueltos al proceso que realizó la consulta.
El problema afecta versiones anteriores a 3.16.1. Esa versión corregida fue liberada el 8 de mayo de 2026: la fecha del anuncio no debe confundirse con la del parche. AWS recomienda actualizar y señala alternativas de configuración, entre ellas comprobar la propiedad del destino predeterminado por cuenta y Región, definir una ubicación explícita o establecerla mediante el grupo de trabajo de Athena.
02 · Impacto
Por qué importa
Análisis: el riesgo no se limita a exponer información. Un resultado alterado puede contaminar una conciliación, un indicador o una decisión posterior sin parecer un incidente de disponibilidad. Para equipos que automatizan consultas, conviene separar tres preguntas: qué dependencia ejecuta la operación, quién controla el almacenamiento de salida y qué evidencia permite confiar en lo recibido. Ninguna se resuelve solamente porque el proceso termine sin errores. La antigüedad del parche también cambia la lectura editorial: estamos ante una divulgación reciente que vuelve urgente comprobar una corrección existente, no ante una actualización publicada ayer. Esto no demuestra que una instalación determinada haya sido atacada.
03 · Recomendaciones
Qué conviene hacer
- Recomendaciones: levantar un inventario acotado de procesos que usen awswrangler, incluyendo imágenes de ejecución y dependencias fijadas en archivos de bloqueo. Registrar versión, responsable y ambiente; luego actualizar con pruebas sobre consultas representativas. El control debe alcanzar las tareas programadas y no quedarse en el entorno de desarrollo.
- Revisar conjuntamente el destino configurado y su cuenta propietaria. Evitar resolver la revisión mirando solo un nombre parecido al esperado. Documentar el resultado por ambiente y Región, junto con los permisos necesarios para escribir y recuperar resultados. Una configuración explícita también necesita verificación de pertenencia y acceso.
- Finalmente, revisar los registros disponibles y las validaciones de resultados de los procesos más sensibles. Si aparecen diferencias inexplicables, preservar evidencia antes de repetir operaciones y escalar según el procedimiento interno. No atribuir automáticamente cualquier anomalía a esta vulnerabilidad: el objetivo es confirmar exposición y alcance con datos, sin convertir una posibilidad técnica en un incidente supuesto.