CVE-2020-8911
Açıklama
AWS S3 Crypto SDK for GoLang'in V2 öncesi sürümlerinde bir padding oracle zafiyeti bulunmaktadır. SDK, kullanıcıların Mesaj Kimlik Doğrulama Kodu (MAC) hesaplamadan dosyaları AES-CBC ile şifrelemesine izin vermektedir; bu durum, hedef S3 kovasına yazma erişimi olan ve anahtara erişimi olan bir uç noktanın dosyayı çözüp çözemediğini gözlemleyebilen bir saldırganın, CBC'nin bir sonraki bloğun baytlarını manipüle etme yeteneğini ve PKCS5 dolgu hatalarını kullanarak, uç noktaya yapılan (ortalama) 128*length (plaintext) sorgu ile düz metni yeniden oluşturmasına olanak tanır. SDK sürümünüzün V2 veya daha yeni bir sürüme güncellenmesi ve dosyalarınızın yeniden şifrelenmesi önerilir.
Nasıl düzeltilir
- amazon aws_s3_crypto_sdk2.0 ya da sonraki bir sürüm
- github.com/aws/aws-sdk-go1.34.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| amazon aws_s3_crypto_sdk | v < 2.0 | 2.0 |
| github.com/aws/aws-sdk-goGo | v < 1.34.0, Aralık belirtilmemiş | 1.34.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.