CVE-2026-110310 – Amazon S3 Encryption Client for .NET のレガシーエンベロープキー形式のダウングレードによる RSA PKCS#1 v1.5 パディングオラクル
速報 ID: 2026-135-AWS
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
発行日: 2026 年 10 月 14 日午後 12 時 30 分 (太平洋標準時)
説明:
AWS は、Amazon S3 Encryption Client for .NET における CVE-2026-110310 を特定しました。この問題では、S3 バケット内の暗号化されたオブジェクトを読み取ることができるリモートユーザーが、オブジェクトのメタデータに記録されたパディング方式をレガシー PKCS#1 v1.5 に変更することで、パディングのダウングレードを適用できる可能性があります。このパディング方式は Bleichenbacher 攻撃に対して脆弱であるため、ユーザーは PKCS#1 v1.5 パディングオラクルを利用して RSA でラップされたエンベロープキーを復元し、オブジェクトを復号できる可能性があります。
影響を受けるバージョン: >= 2.1.0、3.0.0～3.2.1、4.0.0～4.0.2
解決方法:
この問題は、Amazon S3 Encryption Client for .NET バージョン 3.2.2 (バージョン 3.x をご利用の場合) とバージョン 4.0.3 (バージョン 4.x をご利用の場合) で対処されています。最新バージョンにアップグレードし、フォークしたコードや派生コードにパッチを適用して新しい修正を反映させることをお勧めします。1.x および 2.x ラインへのパッチはありません。これらのバージョンのユーザーは、バージョン 3.2.2 または 4.0.3 に移行する必要があります。
回避策:
なし。
参考情報:
セキュリティに関するご質問やご懸念がある場合は、aws-security@amazon.com まで E メールでお問い合わせください。