CVE-2026-3336

WysokieCVSS 7.5

Opublikowano: 02/03/2026(UTC)Zaktualizowano: 15/07/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.77%

Percentyl 51 - wyżej niż 51% wszystkich znanych CVE

Streszczenie

Podatność w funkcji PKCS7_verify() w bibliotece AWS-LC umożliwia nieuwierzytelnionemu użytkownikowi ominięcie weryfikacji łańcucha certyfikatów podczas przetwarzania obiektów PKCS7 z wieloma podpisującymi, z wyjątkiem ostatniego podpisującego.

Ocena ryzyka

Atakujący może dostarczyć złośliwy podpisany obiekt PKCS7, który zostanie uznany za prawidłowy, co może prowadzić do naruszenia integralności danych lub uwierzytelnienia w aplikacjach korzystających z AWS-LC.

Rekomendacja

Należy zaktualizować bibliotekę AWS-LC do wersji 1.69.0 lub nowszej. Klienci usług AWS nie muszą podejmować działań.

Inne podatności w AWS-LC

CVE-2026-3338Wysokie
W bibliotece AWS-LC wykryto podatność w funkcji PKCS7_verify() polegającą na nieprawidłowej walidacji podpisów. Umożliwia ona nieuwierzytelnionemu atakującemu ominięcie weryfikacji podpisu podczas przetwarzania obiektów PKCS7 z uwierzytelnionymi atrybutami.

Oryginalny opis (angielski, źródło NVD)

Improper certificate validation in PKCS7_verify() in AWS-LC allows an unauthenticated user to bypass certificate chain verification when processing PKCS7 objects with multiple signers, except the final signer. Customers of AWS services do not need to take action. Applications using AWS-LC should upgrade to AWS-LC version 1.69.0.