Überspringen zum Hauptinhalt

Problem mit AWS-LC: eine Open-Source-Kryptografie-Bibliothek für allgemeine Zwecke (CVE-2026-3336, CVE-2026-3337, CVE-2026-3338)

Bulletin-ID: 2026-005-AWS
Geltungsbereich: AWS
Inhaltstyp: Wichtig (erfordert Aufmerksamkeit)
Veröffentlichungsdatum: 02.03.2026, 13.15 Uhr PST
 

Wir haben folgende CVEs identifiziert:

  • CVE-2026-3336: PKCS7_verify Umgehung der Zertifikatskettenvalidierung in AWS-LC
  • CVE-2026-3337: Timing bei Seitenkanälen bei der AES-CCM-Tag-Verifizierung in AWS-LC
  • CVE-2026-3338: PKCS7_verify Umgehung der Signaturvalidierung in AWS-LC

Beschreibung:

AWS-LC ist eine Open-Source-Kryptografie-Bibliothek für allgemeine Zwecke. Wir haben 3 verschiedene Probleme identifiziert:

  • CVE-2026-3336: PKCS7_verify Umgehung der Zertifikatskettenvalidierung in AWS-LC
    Eine falsche Zertifikatsvalidierung in PKCS7_verify() in AWS-LC ermöglicht es einem nicht authentifizierten Benutzer, die Überprüfung der Zertifikatskette zu umgehen, wenn PKCS7-Objekte mit mehreren Unterzeichnern verarbeitet werden, mit Ausnahme des letzten Unterzeichners.

  • CVE-2026-3337: Timing bei Seitenkanälen bei der AES-CCM-Tag-Verifizierung in AWS-LC
    Eine beobachtbare Zeitdiskrepanz bei der AES-CCM-Entschlüsselung in AWS-LC ermöglicht es einem nicht authentifizierten Benutzer, möglicherweise die Gültigkeit des Authentifizierungs-Tags mithilfe einer Timing-Analyse zu bestimmen.

  • CVE-2026-3338: PKCS7_verify Umgehung der Signaturvalidierung in AWS-LC
    Eine falsche Signaturvalidierung in PKCS7_verify() in AWS-LC ermöglicht es einem nicht authentifizierten Benutzer, die Signaturüberprüfung zu umgehen, wenn PKCS7-Objekte mit authentifizierten Attributen verarbeitet werden.

Betroffene Versionen:

  • PKCS7_verify Umgehung der Zertifikatskettenvalidierung in AWS-LC >= v1.41.0, < v1.69.0
  • PKCS7_verify Umgehung der Zertifikatskettenvalidierung in aws-lc-sys >= v0.24.0, < v0.38.0
  • Timing bei Seitenkanälen bei der AES-CCM-Tag-Verifizierung in AWS-LC >= v1.21.0, < v1.69.0
  • Timing bei Seitenkanälen bei der AES-CCM-Tag-Verifizierung in AWS-LC >= AWS-LC-FIPS-3.0.0, < AWS-LC-FIPS-3.2.0
  • Timing bei Seitenkanälen bei der AES-CCM-Tag-Verifizierung in aws-lc-sys >= v0.14.0, < v0.38.0
  • Timing bei Seitenkanälen bei der AES-CCM-Tag-Verifizierung in aws-lc-sys-fips >= v0.13.0, < v0.13.12
  • PKCS7_verify Umgehung der Signaturvalidierung in AWS-LC >= v1.41.0, < v1.69.0
  • PKCS7_verify Umgehung der Signaturvalidierung in aws-lc-sys >= v0.24.0, < v0.38.0

Behebung:

PKCS7_verify Umgehung der Zertifikatskettenvalidierung und PKCS7_verify Umgehung der Signaturvalidierung wurden in AWS-LC v1.69.0 und aws-lc-sys v0.38.0 behoben. Timing bei Seitenkanälen bei der AES-CCM-Tag-Verifizierung wurde in AWS-LC v1.69.0, AWS-LC-FIPS-3.2.0, aws-lc-sys v0.38.0 und aws-lc-sys-fips v0.13.12 behoben. PKCS7_verify Umgehung der Signaturvalidierung in AWS-LC wurde in AWS-LC v1.69.0 und aws-lc-sys v0.38.0 behoben.

Umgehungslösungen:

Es sind keine Umgehungslösungen für CVE-2026-3336 und CVE-2026-3338 bekannt.

Für CVE-2026-3337 können Kunden, die AES-CCM mit (M=4, L=2), (M=8, L=2) oder (M=16, L=2) verwenden, dieses Problem umgehen, indem sie AES-CCM über die EVP-AEAD-API mithilfe der Implementierungen EVP_aead_aes_128_ccm_bluetooth, EVP_aead_aes_128_ccm_bluetooth_8 und EVP_aead_aes_128_ccm_matter verwenden. Andernfalls gibt es keine bekannte Umgehungslösung. Wir empfehlen Kunden, auf die neuesten Hauptversionen von AWS-LC zu aktualisieren.

Referenzen:

Danksagung:

Wir möchten dem AISLE-Forschungsteam für die Zusammenarbeit bei den Problemlösungen CVE-2026-3336 und CVE-2026-3337 im Rahmen des koordinierten Prozesses zur Offenlegung von Schwachstellen danken.
 

Bei Fragen oder Bedenken zum Thema Sicherheit senden Sie bitte eine E-Mail an aws-security@amazon.com.