Pular para o conteúdo principal

CVE-2026-4428: Problemas com a AWS-LC - Erro lógico de verificação do escopo do ponto de distribuição de CRL

ID do boletim: 2026-010-AWS
Escopo: AWS
Tipo de conteúdo: Importante (requer atenção)
Data da publicação: 19/03/2026 13:30 PDT
 

Descrição:

A AWS-LC é uma biblioteca criptográfica de uso geral mantida pela AWS. Identificamos o CVE-2026-4428, que afeta a verificação do certificado X.509.

Um erro lógico na correspondência de pontos de distribuição da CRL (Lista de revogação de certificados) na AWS-LC permite que um certificado revogado ignore verificações de revogação durante a validação do certificado, quando a aplicação permite a verificação de CRL e usa CRLs particionadas com extensões de Pontos de distribuição de emissão (IDP).

Aplicações que não permitem a verificação de CRL (X509_V_FLAG_CRL_CHECK) não são afetadas. Aplicações que usam CRLs completas (não particionadas) sem extensões de IDP também não são afetadas.

Versões afetadas:

  • Erro lógico de verificação do escopo do ponto de distribuição de CRL na AWS-LC >= v1.24.0, < v1.71.0
  • Erro lógico de verificação do escopo do ponto de distribuição de CRL na AWS-LC-FIPS >= AWS-LC-FIPS-3.0.0, < AWS-LC-FIPS-3.3.0
  • Erro lógico de verificação do escopo do ponto de distribuição de CRL na aws-lc-sys >= v0.15.0, < v0.39.0
  • Erro lógico de verificação do escopo do ponto de distribuição de CRL na aws-lc-fips-sys >= v0.13.0, < v0.13.13

Resolução:

Esses problemas foram resolvidos na AWS-LC versão v1.71.0, na AWS-LC-FIPS versão AWS-LC-FIPS-3.3.0, na aws-lc-sys versão v0.39.0 e na aws-lc-fips-sys versão v0.13.13. Recomendamos atualizar para a versão mais recente e garantir que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções.

Soluções alternativas:

As aplicações podem contornar esse problema se não habilitarem a verificação de CRL (X509_V_FLAG_CRL_CHECK). Aplicações que usam CRLs completas (não particionadas) sem extensões de IDP também não são afetadas.

Referências:


Envie um e-mail para aws-security@amazon.com em caso de qualquer dúvida ou preocupação sobre segurança.