Amazon Web Services(AWS)は2026年10月15日(日本時間)、Amazon S3 Encryption Client for .NETの脆弱性「CVE-2026-110310」を公表しました。暗号化したオブジェクトを復号されるおそれがあり、AWSは最新版への更新を推奨しています。回避策はなく、1.x・2.xの利用者には修正版のある系列への移行を求めています。
読み取り可能な暗号化データを復号されるおそれ
対象はAmazon S3 Encryption Client for .NETです。今回の確認は、S3を使っているかどうかだけでなく、この暗号化クライアントをアプリケーションで使っているかどうかから始める必要があります。
AWSが示す攻撃者の条件は、S3バケット内の暗号化オブジェクトを読み取れることです。メタデータという、データに付随する情報を改変することで、暗号処理の詰め物に当たるパディングの方式を旧式の「PKCS#1 v1.5」に変更できるとしています。
この旧方式は、暗号処理の応答を手掛かりに解析するBleichenbacher攻撃の影響を受けます。AWSによると、パディングオラクルと呼ぶ仕組みを利用し、RSAで保護された鍵を復元して、オブジェクトを復号できます。
情シスが開発担当へ伝えるべき点は、「暗号化済みだから確認不要」とは扱わないことです。暗号化クライアントの版と、暗号化オブジェクトを誰が読み取れるかを、別々に確認してください。
3.x・4.xには修正版、1.x・2.xは移行が必要
AWSは影響バージョンを「2.1.0以上」と記載しています。さらに、3.xでは3.0.0～3.2.1、4.xでは4.0.0～4.0.2を影響範囲として示しています。
修正版は3.x向けが3.2.2、4.x向けが4.0.3です。一方、1.xと2.xには修正パッチを提供しません。両系列の利用者には、3.2.2または4.0.3への移行を求めています。1.xについては、上記の影響範囲の表記と区別して、移行を求められている点を押さえる必要があります。
また、AWSはフォークや派生コードにも修正を反映するよう推奨しています。元のコードを複製して独自に変更している場合は、通常のライブラリ更新とは別に対応を確認してください。
日本での提供は発表には書かれていません。地域別の適用条件も示されていないため、日本の利用環境での確認も、まず製品名と利用版を起点に進めてください。
影響する会社・しない会社
- 影響する: Amazon S3 Encryption Client for .NETの3.0.0～3.2.1、または4.0.0～4.0.2を使う会社です。AWSが示す影響範囲に該当します。
- 影響する: 2.1.0以上の2.xを使う会社です。1.x・2.xの利用企業にはパッチが提供されず、AWSは3.2.2または4.0.3への移行を求めています。
- 影響する: 対象クライアントを基にしたフォーク・派生コードを運用する会社です。修正が独自コードにも反映されているか、開発担当や委託先との確認が必要です。
- 影響しない: 3.2.2または4.0.3を利用し、この脆弱性の修正が適用されている会社は、示された未修正の範囲には入りません。
- 影響しない: このクライアントを使っていない会社は、今回の対象製品には該当しません。ただし、ほかの製品の安全性まで示す発表ではありません。
情シスが今日やること
- 今日、開発担当と委託先に製品名とCVE番号を共有し、利用の有無を照会してください。確認場所はアプリケーションのソースコード管理先にある依存関係の定義と、稼働環境のライブラリ一覧です。使用版、担当者、フォークの有無を回答してもらいます。
- 回答が集まり次第、3.x・4.xの対象版と、移行が必要な1.x・2.xを分けて一覧にしてください。更新先は3.2.2または4.0.3です。独自コードがある場合は、修正反映の担当も決めます。
- 並行して、クラウド運用担当に対象バケットのアクセス権設定を確認してもらい、暗号化オブジェクトを読み取れる利用者や処理を整理してください。これは攻撃条件の把握であり、AWSが示す回避策ではありません。
- 今日中に、開発責任者と更新・移行の実施日、動作確認の担当、完了報告先を決めてください。AWSは適用期限を示していませんが、回避策はないとしています。更新完了の報告には、稼働環境で確認した版と、派生コードへの反映状況を含めてもらってください。
