CVE-2026-47074
HighCVSS 8.7Exploitation Probability (EPSS)
Low risk13th percentile - higher than 13% of all known CVEs
Summary
Podatność CVE-2026-47074 dotyczy niewłaściwej walidacji certyfikatów w modułach ex_aws_sns (ExAws.SNS, ExAws.SNS.PublicKeyCache), co umożliwia fałszowanie podpisów. Problem polega na tym, że funkcja 'Elixir.ExAws.SNS':verify_message/1 pobiera certyfikat podpisu z pola SigningCertURL bez weryfikacji, czy URL używa HTTPS oraz czy host odpowiada domenie certyfikatu SNS należącego do AWS.
Risk Assessment
Niewłaściwa walidacja certyfikatów stwarza ryzyko, że nieautoryzowany atakujący może wysłać sfałszowaną wiadomość SNS, co prowadzi do całkowitego obejścia weryfikacji podpisu SNS. Może to skutkować poważnymi konsekwencjami dla integralności danych w systemie.
Recommendation
Zaleca się aktualizację modułu ex_aws_sns do wersji 2.3.5 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto wdrożyć dodatkowe mechanizmy weryfikacji certyfikatów w aplikacji.
Original NVD description (English source)
Improper Certificate Validation vulnerability in ex-aws ex_aws_sns (ExAws.SNS, ExAws.SNS.PublicKeyCache modules) allows Signature Spoofing by Improper Validation. This vulnerability is associated with program files lib/ex_aws/sns.ex, lib/ex_aws/sns/public_key_cache.ex and program routines 'Elixir.ExAws.SNS':verify_message/1, 'Elixir.ExAws.SNS.PublicKeyCache':get/1. 'Elixir.ExAws.SNS':verify_message/1 fetches the signing certificate from the SigningCertURL field of the incoming SNS message without validating that the URL uses HTTPS or that the host matches an AWS-owned SNS certificate domain. An unauthenticated attacker who can POST to an endpoint that calls verify_message/1 can supply an attacker-controlled SigningCertURL, sign a forged SNS message with their own key, and cause the function to return :ok, completely bypassing SNS signature verification. This issue affects ex_aws_sns: from 2.0.1 before 2.3.5.