PT-2020-20365 · Amazon Web Services · Aws S3 Crypto Sdk For Golang
Sophie Schmieg
·
Publicado
2020-08-11
·
Atualizado
2026-04-30
·
CVE-2020-8912
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
AWS S3 Crypto SDK para GoLang, versões anteriores à V2
Descrição
Existe uma vulnerabilidade na negociação de chaves em banda do AWS S3 Crypto SDK para GoLang. Um invasor com acesso de gravação ao bucket visado pode alterar o algoritmo de criptografia de um objeto, o que pode permitir que ele revele a chave de autenticação usada pelo AES-GCM. Isso pode ser feito mudando de AES-GCM para AES-CTR em combinação com um oráculo de descriptografia. O ataque requer acesso a um endpoint que revele falhas de descriptografia sem revelar o texto simples. A vulnerabilidade representa riscos internos e de escalonamento de privilégios, contornando os controles do KMS para dados armazenados.
Recomendações
Atualize o SDK para a versão V2 ou posterior e recriptografe os arquivos para mitigar o risco. Para versões anteriores à V2, considere desativar temporariamente o uso da criptografia AES-GCM até que um patch esteja disponível. Restrinja o acesso aos endpoints da API vulneráveis para minimizar o risco de exploração. Evite usar a opção de encapsulamento de chave
KMS para novos arquivos até que o problema seja resolvido.Exploit
Correção
Use of a Broken Cryptographic Algorithm
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Aws S3 Crypto Sdk For Golang