CVE-2026-119148

ŚrednieCVSS 6.5

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 7 - wyżej niż 7% wszystkich znanych CVE

Streszczenie

Niekompletna walidacja ciągów znaków w AWS aws-nitro-enclaves-sdk-c przed wersją 0.4.6 może pozwolić stronie trzeciej na podszycie się pod punkt końcowy AWS KMS. Aby usunąć problem, użytkownicy powinni przebudować dowolny niestandardowy obraz enclave z użyciem aws-nitro-enclaves-sdk-c 0.4.6.

Ocena ryzyka

Atakujący może podszyć się pod punkt końcowy AWS KMS, co może prowadzić do ujawnienia lub manipulacji danymi uwierzytelniającymi w środowisku enclave. Wpływa to na integralność i poufność komunikacji z KMS.

Rekomendacja

Przebuduj niestandardowe obrazy enclave z użyciem aws-nitro-enclaves-sdk-c w wersji 0.4.6 lub nowszej. Zweryfikuj, czy wszystkie wdrożone obrazy korzystają z poprawionej wersji SDK.

Inne podatności w aws-nitro-enclaves-sdk-c

CVE-2026-119116Wysokie
W aplikacji przykładowej kmstool-enclave z AWS aws-nitro-enclaves-sdk-c przed wersją 0.4.6 występuje use-after-free i double-free w obsłudze komendy SetClient. Może to pozwolić aplikacji działającej na nadrzędnej instancji EC2 na uszkodzenie pamięci sterty wewnątrz enklawy Nitro, co może prowadzić do wykonania dowolnego kodu w enklawie.

Oryginalny opis (angielski, źródło NVD)

Incomplete string validation in AWS aws-nitro-enclaves-sdk-c before 0.4.6 may allow a third party to impersonate the AWS KMS endpoint. To remediate this issue, users should rebuild any custom enclave image against aws-nitro-enclaves-sdk-c 0.4.6.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS