🇰🇷 한글 설명
AWS SDK for PHP의 암호화 키 커밋 메커니즘 부재로 인해 S3 버킷 쓰기 권한 보유자가 새로운 EDK를 주입할 수 있습니다. instruction file에 저장된 암호화된 데이터 키가 메타데이터 기록 대신 사용될 때, 악의적으로 다른 평문으로 복호화될 수 있는 취약점입니다.
💡 쉬운 설명
AWS SDK for PHP가 S3에 저장된 파일을 암호화할 때 암호화 키의 진본성을 검증하지 않습니다. 이를 통해 권한 있는 공격자가 몰래 다른 내용으로 해석되도록 변조할 수 있습니다.
🇺🇸 원문 (English)
Missing cryptographic key commitment in the AWS SDK for PHP may allow a user with write access to the S3 bucket to introduce a new EDK that decrypts to different plaintext when the encrypted data key is stored in an "instruction file" instead of S3's metadata record.
To mitigate this issue, upgrade AWS SDK for PHP to version 3.368.0 or later
📍 영향받는 시스템
AWS SDK for PHP 버전 3.368.0 미만
⚔️ 공격 벡터
S3 버킷에 쓰기 접근 권한을 가진 내부 사용자가 instruction file에 악의적인 EDK를 주입하거나 암호화 메타데이터를 수정
🛡️ 대응 방법
AWS SDK for PHP를 3.368.0 이상으로 업그레이드
🔧 검증 코드
설치된 aws/aws-sdk-php 버전이 3.368.0 이상인지 확인. 미만이면 composer update aws/aws-sdk-php로 업그레이드 필요
composer show aws/aws-sdk-php 2>/dev/null | grep -E '^aws/aws-sdk-php'