NuGetパッケージ「Amazon.Extensions.S3.Encryption」 2.1.x <= 2.3.0 / 3.x < 3.2.2 / 4.0.x < 4.0.3 RSAパディングOracle

medium Nessus プラグイン ID 373616

Language:

概要

リモートホストに情報漏えいの脆弱性の影響を受けるNuGetパッケージがインストールされています。

説明

リモートホストにインストールされているNuGetパッケージ「Amazon.Extensions.S3.Encryption」(Amazon S3 Encryption Client for .NET)のバージョンは、2.x2.1.0以降、3.2.2より前の3.x、または4.0.3より前の4.0.xです。したがって、パディングオラクルの脆弱性の影響を受けます。S3バケット内の暗号化されたオブジェクトを読み取ることができるリモートユーザーが、オブジェクトのメタデータに記録されているパディングスキームをレガシー PKCS#1 v1.5に変更することにより、パディングのダウングレードを強制する可能性があります。
このパディングスキームはよく知られたBleichenbacher攻撃の影響を受けやすいため、ユーザーは PKCS#1 v1.5パディングオラクルを使用してRSAでラップされたエンベロープキーを復元し、オブジェクトを復号化できます。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

「Amazon.Extensions.S3.Encryption」パッケージをバージョン 3.2.2 (3.x)または 4.0.3 (4.x)以降に更新してください。注意: 1.x および 2.x ラインはパッチを受け取りません。これらのバージョンのユーザーは、バージョン 3.2.2 または 4.0.3 に移行する必要があります。