In der Python-Bibliothek PyAthena, die Abfragen an Amazon Athena vermittelt, steckt eine SQL-Injection-Schwachstelle. Ursache ist eine fehlerhafte Maskierung von Anführungszeichen beim Zusammenbauen von Abfragen: Bestimmte Anweisungen – darunter Löschbefehle und das Erzeugen von Tabellen aus Abfrageergebnissen – werden an eine Hive-Maskierungsfunktion weitergereicht, die einfache Anführungszeichen mit einem Backslash versieht, statt sie zu verdoppeln. Athena und Trino behandeln den Backslash innerhalb von Zeichenketten jedoch nicht als Escape-Zeichen. Übergibt ein Angreifer ein Anführungszeichen gefolgt von eigener SQL-Syntax, endet die Zeichenkette für den Parser vorzeitig und der angehängte Code wird als Teil der Abfrage ausgeführt. Dafür ist keine Anmeldung nötig. Möglich werden dadurch das Abgreifen fremder Daten über zusammengesetzte Abfragen, das Ausführen zerstörerischer Anweisungen sowie die freie Kontrolle über Ziel und Inhalt neu erzeugter Tabellen. Betroffen sind Anwendungen, die Benutzereingaben über diese Bibliothek in Abfragen einfließen lassen.