CVE-2020-8897
Açıklama
Java, Python, C ve Javascript için AWS Encryption SDK'larının 2.0.0 öncesi sürümlerinde zayıf dayanıklılık (weak robustness) zafiyeti bulunmaktadır. SDK'ların mesajları şifrelemek için kullandığı AES-GCM'in (ve AES-GCM-SIV veya (X)ChaCha20Poly1305 gibi diğer AEAD şifreleme yöntemlerinin) bağlayıcı olmama (non-committing) özelliği nedeniyle, bir saldırgan birden fazla farklı sonuca çözülebilecek benzersiz bir şifreli metin oluşturabilir; bu durum özellikle çoklu alıcılı senaryolarda kritik hale gelmektedir. Kullanıcıların SDK sürümünü 2.0.0 veya daha yeni bir sürüme güncellemeleri önerilir.
Nasıl düzeltilir
- amazon aws_encryption_sdk2.0.0 ya da sonraki bir sürüm
- com.amazonaws:aws-encryption-sdk-java2.0.0 ya da sonraki bir sürüm
- aws-encryption-sdk2.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| amazon aws_encryption_sdk | v < 2.0.0 | 2.0.0 |
| com.amazonaws:aws-encryption-sdk-javaMaven | v < 2.0.0 | 2.0.0 |
| aws-encryption-sdkPyPI | v < 2.0.0 | 2.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.