CVE-2026-110310 - Oracle de remplissage RSA PKCS #1 v1.5 via une rétrogradation vers l’ancien format de clé d’enveloppe dans Amazon S3 Encryption Client pour .NET
ID du bulletin : 2026-135-AWS
Portée : AWS
Type de contenu : important (nécessite une attention particulière)
Date de publication : 14/10/2026 12:30 PDT (heure avancée du Pacifique)
Description :
Nous avons identifié CVE-2026-110310, un problème dans le client de chiffrement Amazon S3 pour .NET qui pourrait permettre à un utilisateur distant capable de lire des objets chiffrés dans le compartiment S3 de forcer une rétrogradation du remplissage en remplaçant, dans les métadonnées d’un objet, le schéma de remplissage enregistré par l’ancien PKCS #1 v1.5. Ce schéma de remplissage étant sensible à l’attaque Bleichenbacher, l’utilisateur peut utiliser un oracle de remplissage PKCS #1 v1.5 pour récupérer la clé d’enveloppe encapsulée en RSA et déchiffrer l’objet.
Versions concernées : >= 2.1.0 ; 3.0.0 à 3.2.1 ; 4.0.0 à 4.0.2
Résolution :
Ce problème a été résolu dans Amazon S3 Encryption Client pour .NET version 3.2.2 pour les clients utilisant la version 3.x et la version 4.0.3 pour les clients utilisant la version 4.x. Nous vous recommandons de passer à la dernière version et de veiller à ce que tout code dérivé ou issu d’une bifurcation intègre les correctifs. Les lignes 1.x et 2.x ne recevront pas de correctifs ; les utilisateurs de ces versions doivent migrer vers la version 3.2.2 ou 4.0.3.
Solutions de contournement :
Aucune.
Références :
Veuillez envoyer un e-mail à aws-security@amazon.com pour toute question ou préoccupation relative à la sécurité.