メインコンテンツに移動

S3 Encryption Client におけるキーコミットメント問題

速報 ID: AWS-2025-032
対象範囲: AWS
コンテンツタイプ: 重要 (要注意)
発行日: 2025 年 12 月 17 日 午後 12 時 15 分 (PST)


AWS は、以下の CVE を特定しました。

  • CVE-2025-14763 - Java の S3 Encryption Client におけるキーコミットメント問題
  • CVE-2025-14764 - Go の S3 Encryption Client におけるキーコミットメント問題
  • CVE-2025-14759 - .NET の S3 Encryption Client におけるキーコミットメント問題
  • CVE-2025-14760 - C++ の S3 Encryption Client (AWS SDK for C++ の一部) におけるキーコミットメント問題
  • CVE-2025-14761 - PHP の S3 Encryption Client (AWS SDK for PHP の一部) におけるキーコミットメント問題
  • CVE-2025-14762 - Ruby の S3 Encryption Client (AWS SDK for Ruby の一部) におけるキーコミットメント問題

説明:

Java、Go、.NET、C++、PHP、Ruby 向けの S3 Encryption Client は、暗号化されたレコードの S3 に対する書き込みと読み取りを容易にするために使用されるオープンソースのクライアント側暗号化ライブラリです。

暗号化データキー (EDK) が S3 のメタデータレコードではなく「命令ファイル」に保存されると、EDK が「Invisible Salamanders」攻撃にさらされるため、EDK が新しいキーに置き換えられる可能性があります。

影響を受けるバージョン:

  • S3 Encryption Client Java: 3.5.0 以下
  • S3 Encryption Client Go: 3.1.0 以下
  • S3 Encryption Client .NET: 3.1 以下
  • AWS SDK for C++: 1.11.711 以下
  • AWS SDK for PHP: 3.367.0 以下
  • AWS SDK for Ruby: 1.207.0 以下

解決方法:

この問題に対処するため、AWS は S3 Encryption Client に「キーコミットメント」という概念を導入します。この概念では、EDK が暗号文に暗号的にバインドされます。処理中のメッセージの互換性を維持するため、この修正は 2 つのバージョンでリリースされます。キーコミットメントを使用するメッセージを読み取ることはできるが書き込みはできないコード互換のマイナーバージョンと、キーコミットメントを使用するメッセージの読み取りと書き込みの両方が可能な新しいメジャーバージョンです。お客様には、最新のメジャーバージョンへのアップグレードが推奨されます。

回避策:

既知の回避策はありません。

参考情報:


セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com まで E メールでお問い合わせください。