CVE-2026-110310: Oráculo de relleno RSA PKCS #1 v1.5 mediante la degradación al formato heredado de clave de sobre en el cliente de cifrado de Amazon S3 para .NET
ID del boletín: 2026-135-AWS
Alcance: AWS
Tipo de contenido: Importante (requiere atención)
Fecha de publicación: 14/10/2026 12:30 h PDT
Descripción:
Identificamos la vulnerabilidad CVE-2026-110310, un problema en el cliente de cifrado de Amazon S3 para .NET que podía permitir que un usuario remoto con acceso de lectura a los objetos cifrados del bucket de S3 fuerce una degradación del relleno al cambiar el esquema de relleno registrado en los metadatos de un objeto por el PKCS#1 v1.5 heredado. Dado que este esquema de relleno es vulnerable al ataque de Bleichenbacher, el usuario puede utilizar un oráculo de relleno de PKCS#1 v1.5 para recuperar la clave de sobre cifrada con RSA y descifrar el objeto.
Versiones afectadas: >= 2.1.0; 3.0.0 a 3.2.1; 4.0.0 a 4.0.2
Resolución:
Este problema se solucionó en el cliente de cifrado de Amazon S3 para .NET versión 3.2.2 para los clientes de la versión 3.x y en la versión 4.0.3 para los clientes de la versión 4.x. Recomendamos actualizar a la versión más reciente y asegurarse de que cualquier código bifurcado o derivado se haya parcheado para incorporar las nuevas correcciones. Las líneas 1.x y 2.x no recibirán parches; los usuarios de esas versiones deberán migrar a la versión 3.2.2 o 4.0.3.
Soluciones alternativas:
Ninguna.
Referencias:
Envíe un correo electrónico a aws-security@amazon.com si tiene alguna pregunta o inquietud de seguridad.