概要
AWS-LC（Amazon が提供する暗号ライブラリ）の PKCS7_verify() に、複数の署名者を持つ PKCS7 オブジェクトを処理する際、最後の署名者以外の証明書チェーン検証をバイパスできる脆弱性が存在します。
AWSサービスの利用者は対応不要ですが、AWS-LC を直接アプリケーションに組み込んでいる場合はアップデートが必要です。
関連する CVE-2026-3338 では、Authenticated Attributes を持つ PKCS7 オブジェクトの署名検証もバイパスされる問題が報告されています。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 7.5 |
| 深刻度 | High |
| CWE | CWE-295 (不適切な証明書検証) |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| AWS-LC | Amazon Web Services | 1.69.0 未満 |
修正バージョンと回避策
- 修正バージョン: AWS-LC 1.69.0
- AWSマネージドサービス利用者は対応不要
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。