🇰🇷 한글 설명
Amazon S3 Encryption Client for .NET에서 암호화 키 커밋 기능이 누락되어 발생하는 취약점입니다. S3 버킷에 쓰기 권한이 있는 사용자가 암호화된 데이터 키를 메타데이터 대신 별도의 지시 파일에 저장함으로써, 동일한 키가 서로 다른 평문으로 복호화되도록 유도할 수 있습니다.
💡 쉬운 설명
데이터를 암호화할 때 사용하는 열쇠가 변조되었는지 확인하는 과정이 빠져 있는 상태입니다. 공격자가 암호화된 열쇠를 조작하여 원래 데이터와 다른 내용을 읽게 만들 수 있습니다.
🇺🇸 원문 (English)
Missing cryptographic key commitment in the Amazon S3 Encryption Client for .NET may allow a user with write access to the S3 bucket to introduce a new EDK that decrypts to different plaintext when the encrypted data key is stored in an "instruction file" instead of S3's metadata record.
To mitigate this issue, upgrade Amazon S3 Encryption Client for .NET to version 3.2.0 or later.
📍 영향받는 시스템
Amazon S3 Encryption Client for .NET (3.2.0 미만 버전)
⚔️ 공격 벡터
S3 버킷 쓰기 권한을 이용해 암호화된 데이터 키를 조작된 지시 파일에 저장하여 복호화 결과 왜곡
🛡️ 대응 방법
Amazon S3 Encryption Client for .NET을 3.2.0 이상 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 패키지 버전이 3.2.0 미만인지 확인하십시오.
dotnet list package | grep Amazon.S3.EncryptionClient