CVE-2026-19642 & CVE-2026-19643 – AWS SDK for C++ の Base64 デコーダーにおけるメモリ安全性の問題
速報 ID: 2026-080-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
発行日: 2026 年 8 月 12 日 12 時 30 分 (PDT)
説明:
AWS SDK for C++ は、C++ 開発者に AWS サービス用の API を提供するオープンソースライブラリです。そのコアライブラリには、生成されたサービスクライアントがさまざまな機能に使用する Base64 コーデックが含まれています。AWS では次の CVE を特定しました。
- CVE-2026-19642 – AWS SDK for C++ の Base64 デコーダーにおける範囲外書き込み
- CVE-2026-19643 – AWS SDK for C++ の Base64 デコーダーにおける範囲外読み取り
CVE-2026-19642 では、Base64 デコーダーへの特定の入力により、デコーダーがヒープに割り当てられた出力バッファの最後を超えて書き込みを行う可能性があり、デコードを実行するプロセスでクラッシュやメモリの破損が発生する可能性があります。リモートコード実行は実証されていません。
CVE-2026-19643 では、プラットフォームによっては、Base64 デコーダーへの特定の入力により、デコーダーがデコードテーブルの範囲外を読み取り、デコードを実行するプロセスがクラッシュする可能性があります。
どちらの問題でも、影響はデコードを実行するアプリケーションのプロセスに限定されます。
影響を受けるバージョン: AWS SDK for C++: <= 1.11.861
解決方法:
これらの問題は、2026 年 8 月 3 日にリリースされた AWS SDK for C++ バージョン 1.11.862 で解決されました。SDK の Base64 実装は、AWS 共通ランタイムの実装に委任されるようになりました。最新バージョンにアップグレードし、フォークしたコードや派生コードにパッチを適用して新しい修正を反映させることをお勧めします。
SDK をベンダーまたは静的にリンクするお客様は、ビルドが更新された SDK ソースだけでなく、更新された aws-crt-cpp サブモジュールを使用することを確認する必要があります。
回避策:
これらの問題を回避する設定やランタイムオプションはありません。アップグレードが必要です。
参考情報:
謝辞:
協調的脆弱性開示プロセスを通じてこの問題に協力してくれたマンチェスター大学の Lucas Carvalho Cordeiro 氏と Rafael Sa Menezes 氏に感謝します。
セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com までメールでお問い合わせください。