Vulnerabilidad en la negociación de claves in-band en AWS S3 Crypto SDK para GoLang (CVE-2020-8912)

Gravedad CVSS v3.1:

BAJA

Tipo:

CWE-327 Uso de algoritmo criptográfico vulnerable o inseguro

Fecha de publicación:

11/08/2020

Última modificación:

17/08/2020

Descripción

Se presenta una vulnerabilidad en la negociación de claves in-band en AWS S3 Crypto SDK para GoLang versiones anteriores a la versión V2. Un atacante con acceso de escritura al depósito de destino puede cambiar el algoritmo de cifrado de un objeto en el depósito, lo que luego puede permitirle cambiar AES-GCM a AES-CTR. El uso de esto en combinación con un oráculo de descifrado puede revelar la clave de autenticación usada por AES-GCM ya que descifrar la etiqueta GMAC deja la clave de autenticación recuperable como una ecuación algebraica. Se recomienda actualizar su SDK a la versión V2 o posterior y volver a cifrar sus archivos

Impacto

Vector 3.x

CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 2.50 BAJA
Vector: CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N

Vector de acceso (AV): Local
Complejidad de acceso (AC): Alto
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Bajo
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

2.50

Gravedad 3.x

BAJA

Vector 2.0

AV:L/AC:L/Au:N/C:P/I:N/A:N CVSS v2.0 Severidad y Métricas:

Puntuación base: 2.10 BAJA
Vector: AV:L/AC:L/Au:N/C:P/I:N/A:N

Vector de acceso (AV): Local
Complejidad de acceso (AC): Bajo
Autenticación (Au): Ninguno
Impacto a la confidencialidad (C): Físico
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno