CVE-2026-110310 - Oracolo di padding RSA PKCS#1 v1.5 tramite downgrade al formato legacy della chiave a busta nella crittografia lato client Amazon S3 per .NET
ID Bollettino: 2026-135-AWS
Ambito: AWS
Tipo di contenuto: Importante (richiede attenzione)
Data di pubblicazione: 14/10/2026 12:30 PDT
Descrizione:
Abbiamo identificato CVE-2026-110310, un problema nella crittografia lato client Amazon S3 per .NET che potrebbe consentire a un utente remoto in grado di leggere oggetti crittografati nel bucket S3 di forzare un downgrade del padding modificando lo schema di padding registrato nei metadati di un oggetto e riportandolo al formato legacy PKCS#1 v1.5. Poiché questo schema di padding è vulnerabile all’attacco Bleichenbacher, l’utente può sfruttare un oracolo di padding PKCS#1 v1.5 per recuperare la chiave a busta sottoposta a wrapping RSA e decrittografare l’oggetto.
Versioni interessate: >= 2.1.0; da 3.0.0 a 3.2.1; da 4.0.0 a 4.0.2
Risoluzione:
Questo problema è stato risolto nella crittografia lato client Amazon S3 per .NET versione 3.2.2 per i clienti che utilizzano la versione 3.x e nella versione 4.0.3 per i clienti che utilizzano la versione 4.x. Consigliamo di eseguire l’aggiornamento alla versione più recente e di applicare le patch a qualsiasi codice derivato o di cui è stato eseguito il fork, in modo da integrare le nuove correzioni. Le versioni 1.x e 2.x non riceveranno patch: gli utenti di queste versioni devono eseguire la migrazione alla versione 3.2.2 o 4.0.3.
Soluzioni alternative:
Nessuna.
Riferimenti:
Invia un’e-mail a aws-security@amazon.com per eventuali domande o dubbi sulla sicurezza.