🇰🇷 한글 설명
Amazon AWS Encryption SDK for Python의 캐싱 레이어에서 암호화 알고리즘 다운그레이드 취약점이 발견되었습니다. 인증된 로컬 공격자가 공유된 키 캐시를 통해 키 커밋먼트 정책을 우회하여 암호문이 여러 다른 평문으로 해독될 수 있습니다.
💡 쉬운 설명
AWS 암호화 라이브러리의 저장된 키 정보가 잘못 공유되어, 같은 암호가 여러 다른 내용으로 해독될 수 있는 문제입니다. 마치 하나의 열쇠로 여러 개의 다른 상자가 열리는 상황과 같습니다.
🇺🇸 원문 (English)
Cryptographic algorithm downgrade in the caching layer of Amazon AWS Encryption SDK for Python before version 3.3.1 and before version 4.0.5 might allow an authenticated local threat actor to bypass key commitment policy enforcement via a shared key cache, resulting in ciphertext that can be decrypted to multiple different plaintexts.
To remediate this issue, users should upgrade to version 3.3.1, 4.0.5 or above.
📍 영향받는 시스템
Amazon AWS Encryption SDK for Python 3.3.1 미만, 4.0.5 미만
⚔️ 공격 벡터
인증된 로컬 사용자가 공유 키 캐시에 접근하여 키 커밋먼트 정책 우회
🛡️ 대응 방법
AWS Encryption SDK for Python을 버전 3.3.1, 4.0.5 또는 그 이상으로 업그레이드
🔧 검증 코드
버전이 3.3.1 이상(2.x/3.x) 또는 4.0.5 이상(4.x)이면 안전, 이하면 취약
python -c "import aws_encryption_sdk; print(aws_encryption_sdk.__version__)" 2>/dev/null || pip show aws-encryption-sdk | grep Version