リモートホストにインストールされているNuGetパッケージ「Amazon.Extensions.S3.Encryption」(Amazon S3 Encryption Client for .NET)のバージョンは、2.x2.1.0以降、3.2.2より前の3.x、または4.0.3より前の4.0.xです。したがって、パディングオラクルの脆弱性の影響を受けます。S3バケット内の暗号化されたオブジェクトを読み取ることができるリモートユーザーが、オブジェクトのメタデータに記録されているパディングスキームをレガシー PKCS#1 v1.5に変更することにより、パディングのダウングレードを強制する可能性があります。
このパディングスキームはよく知られたBleichenbacher攻撃の影響を受けやすいため、ユーザーは PKCS#1 v1.5パディングオラクルを使用してRSAでラップされたエンベロープキーを復元し、オブジェクトを復号化できます。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

NuGetパッケージ「Amazon.Extensions.S3.Encryption」 2.1.x <= 2.3.0 / 3.x < 3.2.2 / 4.0.x < 4.0.3 RSAパディングOracle

medium Nessus プラグイン ID 373616

バージョン 1.2