CVE-2026-119116 和 CVE-2026-119148 - 适用于 C 语言的 AWS Nitro Enclaves SDK 中的问题
公告 ID： 2026-157-AWS
范围：AWS
内容类型：重要提示（需要注意）
发布日期：2026 年 10 月 30 日上午 9:00（太平洋夏令时）
描述：
适用于 C 语言的 AWS Nitro Enclaves SDK（aws-nitro-enclaves-sdk-c）是一个库和一组示例工具（包括 kmstool-enclave），用于构建在 AWS Nitro Enclaves 内运行并使用加密证明调用 AWS KMS 的应用程序。
我们发现了 CVE-2026-119116，这是 kmstool-enclave 示例应用程序的 SetClient 命令处理程序中的释放后使用，其中在父 EC2 实例上执行的应用程序可以通过 vsock 发送精心编制的消息来破坏 enclave 内的堆内存，并在其中执行任意代码。只有包含 kmstool-enclave 或由其衍生的代码的 enclave 映像才会受到影响。
我们还发现了 CVE-2026-119148，这是 SDK 库中的一个输入验证问题，其中 AWS KMS 服务器名称是根据调用者提供的区域字符串构建的。第三方可以提供一个精心构建的区域来冒充 KMS 以欺骗 enclave，并注入伪造的响应，例如行为者选择的密钥材料。
受影响的版本： aws-nitro-enclaves-sdk-c <= v0.4.5（CVE-2026-119116 仅影响 kmstool-enclave；CVE-2026-119148 影响库）
解决方案：
这两个问题都已在 aws-nitro-enclaves-sdk-c 版本 v0.4.6 中得到解决。构建使用 aws-nitro-enclaves-sdk-c 库的 enclave 映像的客户应将其升级到 v0.4.6 并重建其 enclave 映像。
临时措施：
没有临时措施。需要升级。
参考：
致谢：
感谢 Trail of Bits 报告 CVE-2026-119116 并通过协调漏洞披露流程就此问题与我们合作。
如有任何安全问题或疑虑，请发送电子邮件至 aws-security@amazon.com。