CVE-2020-8912
Açıklama
AWS S3 Crypto SDK for GoLang'in V2 öncesi sürümlerinde, bant içi anahtar müzakeresinde bir güvenlik açığı bulunmaktadır. Hedeflenen bucket'a yazma erişimi olan bir saldırgan, bucket içindeki bir nesnenin şifreleme algoritmasını değiştirebilir ve bu sayede AES-GCM'yi AES-CTR ile değiştirebilir. Bunun bir dekriptleme oraklıyla birlikte kullanılması, AES-GCM tarafından kullanılan kimlik doğrulama anahtarının ortaya çıkarılmasına neden olabilir; çünkü GMAC etiketinin çözülmesi, kimlik doğrulama anahtarını cebirsel bir denklem olarak kurtarılabilir hale getirir. SDK sürümünüzün V2 veya daha yeni bir sürüme güncellenmesi ve dosyalarınızın yeniden şifrelenmesi önerilir.
Nasıl düzeltilir
- amazon aws_s3_crypto_sdk2.0 ya da sonraki bir sürüm
- github.com/aws/aws-sdk-go1.34.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| amazon aws_s3_crypto_sdk | v < 2.0 | 2.0 |
| github.com/aws/aws-sdk-goGo | v < 1.34.0, Aralık belirtilmemiş | 1.34.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.