CVE-2026-110310 — 适用于 .NET 的 Amazon S3 加密客户端中存在因旧版信封密钥格式降级导致的 RSA PKCS#1 v1.5 填充预言机漏洞
公告 ID： 2026-135-AWS
范围：亚马逊云科技
内容类型：重要提示（需要注意）
发布日期： 2026 年 10 月 14 日下午 12:30（太平洋夏令时）
描述：
我们发现了 CVE-2026-110310，这是适用于 .NET 的 Amazon S3 加密客户端中的一个问题。该问题可能允许能够读取 S3 存储桶中加密对象的远程用户通过篡改对象元数据中记录的填充方案（将其更改为旧版的 PKCS#1 v1.5）来强制执行填充降级。由于此填充方案容易受到 Bleichenbacher 攻击，攻击者可以利用 PKCS#1 v1.5 填充预言机来恢复 RSA 封装的信封密钥，进而解密该对象。
受影响的版本：>= 2.1.0；3.0.0 至 3.2.1；4.0.0 至 4.0.2
解决方案：
该问题已在适用于 .NET 的 Amazon S3 加密客户端中得到解决：使用 3.x 版本的客户请升级至 3.2.2 版本，使用 4.x 版本的客户请升级至 4.0.3 版本。建议您升级到最新版本，并确保对所有分叉代码或派生代码进行修补，以纳入新的修复程序。1.x 和 2.x 系列版本将不再获得补丁更新；使用这些版本的用户需迁移至 3.2.2 或 4.0.3 版本。
临时措施：
无。
参考：
如有任何安全问题或疑虑，请发送电子邮件至 aws-security@amazon.com。