CVE-2026-3338

WysokieCVSS 7.5

Opublikowano: 02/03/2026(UTC)Zaktualizowano: 15/07/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

0.78%

Percentyl 52 - wyżej niż 52% wszystkich znanych CVE

Streszczenie

W bibliotece AWS-LC wykryto podatność w funkcji PKCS7_verify() polegającą na nieprawidłowej walidacji podpisów. Umożliwia ona nieuwierzytelnionemu atakującemu ominięcie weryfikacji podpisu podczas przetwarzania obiektów PKCS7 z uwierzytelnionymi atrybutami.

Ocena ryzyka

Organizacja może być narażona na akceptację sfałszowanych lub zmodyfikowanych danych podpisanych cyfrowo, co może prowadzić do naruszenia integralności i autentyczności przetwarzanych informacji.

Rekomendacja

Należy zaktualizować bibliotekę AWS-LC do wersji 1.69.0 lub nowszej. Klienci usług AWS nie muszą podejmować żadnych działań.

Inne podatności w AWS-LC

CVE-2026-3336Wysokie
Podatność w funkcji PKCS7_verify() w bibliotece AWS-LC umożliwia nieuwierzytelnionemu użytkownikowi ominięcie weryfikacji łańcucha certyfikatów podczas przetwarzania obiektów PKCS7 z wieloma podpisującymi, z wyjątkiem ostatniego podpisującego.

Oryginalny opis (angielski, źródło NVD)

Improper signature validation in PKCS7_verify() in AWS-LC allows an unauthenticated user to bypass signature verification when processing PKCS7 objects with Authenticated Attributes. Customers of AWS services do not need to take action. Applications using AWS-LC should upgrade to AWS-LC version 1.69.0.