PT-2020-20364 · Amazon Web Services · Aws S3 Crypto Sdk For Golang
Sophie Schmieg
·
Publicado
2020-08-11
·
Atualizado
2024-11-20
·
CVE-2020-8911
CVSS v3.1
5.6
Média
| Vetor | AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
AWS S3 Crypto SDK para GoLang, versões anteriores à V2
Descrição
Existe uma vulnerabilidade do tipo “padding oracle” no AWS S3 Crypto SDK para GoLang, permitindo que um invasor com acesso de gravação ao bucket S3 do alvo e a capacidade de observar falhas de descriptografia reconstrua o texto simples por meio de um número significativo de consultas ao endpoint. Isso é conseguido explorando a capacidade do CBC de manipular os bytes do próximo bloco e os erros de preenchimento do PKCS5. A vulnerabilidade representa riscos internos e de escalonamento de privilégios, podendo contornar os controles do KMS para dados armazenados.
Recomendações
Atualize o SDK para a versão 2 ou posterior e recriptografe os arquivos para mitigar o risco. Para arquivos criptografados com o modo CBC em versões mais antigas, recriptografe-os com AES-GCM para resolver o problema. O uso da versão 2 do SDK de criptografia S3 impedirá a criação de novos arquivos vulneráveis, mas os arquivos antigos permanecerão vulneráveis até que sejam recriptografados.
Exploit
Correção
Use of a Broken Cryptographic Algorithm
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Aws S3 Crypto Sdk For Golang