CVE-2026-110310 - .NET용 Amazon S3 암호화 클라이언트의 레거시 봉투 키 형식 다운그레이드를 통한 RSA PKCS#1 v1.5 패딩 오라클
공지 ID: 2026-135-AWS
범위: AWS
콘텐츠 유형: 중요(주의 필요)
게시 날짜: 2026년 10월 14일 오후 12시 30분(PDT)
설명:
.NET용 Amazon S3 암호화 클라이언트에서 CVE-2026-110310 문제가 확인되었습니다. 이 문제로 인해 S3 버킷의 암호화된 객체를 읽을 수 있는 원격 사용자가 객체 메타데이터에 기록된 패딩 체계를 레거시 PKCS#1 v1.5로 변경하여 패딩 다운그레이드를 강제할 수 있습니다. 이 패딩 체계는 Bleichenbacher 공격에 취약하므로 사용자는 PKCS#1 v1.5 패딩 오라클을 사용하여 RSA로 래핑된 봉투 키를 복구하고 객체를 복호화할 수 있습니다.
영향을 받는 버전: >= 2.1.0, 3.0.0~3.2.1, 4.0.0~4.0.2
해결 방법:
이 문제는 3.x 버전을 사용하는 고객에게는 .NET용 Amazon S3 암호화 클라이언트 버전 3.2.2에서, 4.x 버전을 사용하는 고객에게는 버전 4.0.3에서 해결되었습니다. 최신 버전으로 업그레이드하고, 포크되거나 파생된 모든 코드에도 새로운 수정 사항이 반영되도록 패치를 적용할 것을 권장합니다. 1.x 및 2.x 버전 라인에는 패치가 제공되지 않으므로, 해당 버전 사용자는 3.2.2 또는 4.0.3 버전으로 마이그레이션해야 합니다.
임시 해결 방법:
없음.
참고 사항:
보안 관련 질문이나 우려 사항이 있는 경우 aws-security@amazon.com로 이메일을 보내 주세요.