CVE-2026-110310 – RSA PKCS#1 v1.5 Padding-Orakel über Herabstufung des Legacy-Umschlagschlüsselformats im Amazon S3 Encryption Client für .NET
Bulletin-ID: 2026-135-AWS
Bereich: AWS
Inhaltstyp: Wichtig (erfordert Aufmerksamkeit)
Veröffentlichungsdatum: 14.10.2026, 12:30 Uhr PDT
Beschreibung:
Wir haben CVE-2026-110310 identifiziert, ein Problem im Amazon-S3-Verschlüsselungsclient für .NET, das es einem Remote-Benutzer, der verschlüsselte Objekte im S3-Bucket lesen kann, ermöglichen könnte, ein Padding-Downgrade zu erzwingen, indem er das in den Metadaten eines Objekts aufgezeichnete Padding-Schema auf das ältere PKCS#1 v1.5 ändert. Da dieses Padding-Schema anfällig für den Bleichenbacher-Angriff ist, kann der Benutzer ein PKCS#1 v1.5-Padding-Orakel verwenden, um den RSA-verpackten Umschlagschlüssel wiederherzustellen und das Objekt zu entschlüsseln.
Betroffene Versionen: >= 2.1.0; 3.0.0 bis 3.2.1; 4.0.0 bis 4.0.2
Lösung:
Dieses Problem wurde in Amazon S3 Encryption Client für .NET Version 3.2.2 für Kunden mit Version 3.x und Version 4.0.3 für Kunden mit Version 4.x behoben. Wir empfehlen, ein Upgrade auf die neueste Version vorzunehmen und dafür zu sorgen, dass geforkter oder abgeleiteter Code gepatcht wird, damit die neuen Korrekturen enthalten sind. Die Versionsreihen 1.x und 2.x erhalten keine Patches. Benutzer dieser Versionen müssen auf Version 3.2.2 oder 4.0.3 migrieren.
Problemumgehungen:
Keine.
Referenzen:
Bei Fragen oder Bedenken zum Thema Sicherheit wenden Sie sich bitte per E-Mail an aws-security@amazon.com .