CVE-2026-119116 および CVE-2026-119148 – AWS Nitro Enclaves SDK for C における問題
速報 ID: 2026-157-AWS
スコープ: AWS
コンテンツタイプ: 重要 (注意が必要)
公開日: 2026 年 10 月 30 日午前 9 時 (太平洋夏時間)
説明:
AWS Nitro Enclaves SDK for C (aws-nitro-enclaves-sdk-c) は、AWS Nitro Enclaves 内で実行され、暗号化証明を使用して AWS KMS を呼び出すアプリケーションを構築するための、kmstool-enclave を含むライブラリおよび一連のサンプルツールです。
AWS は、CVE-2026-119116、kmstool-enclave サンプルアプリケーションの SetClient コマンドハンドラーでの use-after-free を特定しました。親 EC2 インスタンス上で実行されるアプリケーションが vsock 経由で細工されたメッセージを送信し、エンクレーブ内のヒープメモリを破損させ、その中で任意のコードを実行してしまう可能性があります。kmstool-enclave またはそこから派生したコードを含むエンクレーブイメージのみが影響を受けます。
また、CVE-2026-119148、SDK ライブラリでの入力検証における問題も特定しました。AWS KMS サーバー名が呼び出し側より提示されたリージョン文字列に基づいて作成されてしまいます。第三者は、細工したリージョン情報を提供することでエンクレーブに対し KMS を装い、攻撃者が選択したキー情報などの偽の応答を注入することが可能になります。
影響を受けるバージョン: aws-nitro-enclaves-sdk-c v0.4.5 およびそれ以前のバージョン (CVE-2026-119116 の影響は kmstool-enclave のみです。CVE-2026-119148 はライブラリに影響を与えます。)
解決方法:
いずれの問題も aws-nitro-enclaves-sdk-c バージョン v0.4.6 で対処されています。aws-nitro-enclaves-sdk-c ライブラリを使用するエンクレーブイメージを構築しているお客様は、これを v0.4.6 にアップグレードし、エンクレーブイメージを再構築する必要があります。
回避策:
回避策はありません。アップグレードが必要です。
参考情報:
謝辞:
CVE-2026-119116 を報告し、協調的脆弱性開示プロセスを通じてこの問題に協力してくださった Trail of Bits 社に感謝いたします。
セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com まで E メールでお問い合わせください。