CVE-2026-6550: Omisión de la política de compromiso de claves mediante la caché de claves compartida en el SDK de cifrado de AWS para Python
ID del boletín: 2026-017-AWS
Alcance: AWS
Tipo de contenido: Importante (requiere atención)
Fecha de publicación: 20/04/2026 9:15 h PDT
Descripción:
SDK de cifrado de AWS (ESDK) para Python es una biblioteca de cifrado en el cliente. Identificamos el error CVE-2026-6550, que describe un problema relacionado con la omisión de una política de compromiso de claves mediante la caché de claves compartida.
La degradación del algoritmo criptográfico en la capa de almacenamiento en caché del SDK de cifrado de AWS para Python, en versiones anteriores a la 3.3.1 y a la 4.0.5, podría permitir a un actor de amenazas local autenticado eludir la aplicación de la política de compromiso de claves mediante una caché de claves compartida, lo que generaba texto cifrado que puede descifrarse en varios textos sin formato diferentes.
Versiones afectadas:
- De la 2.0 a la 2.5.1
- De la 3.0 a la 3.3.0
- De la 4.0 a la 4.0.4
Resolución:
Este problema se abordó en las versiones 3.3.1 y 4.0.5 de ESDK para Python. Recomendamos actualizar a la versión más reciente y verificar que cualquier código derivado o bifurcado incorpore las nuevas revisiones.
Soluciones alternativas:
Si un cliente necesita operar varias instancias de ESDK para Python, cada una con políticas de compromiso de claves configuradas de forma diferente, no debe compartir una caché de claves.
Referencias:
Reconocimiento:
Agradecemos a 1seal.org por su colaboración en la resolución de este asunto a través del proceso coordinado de divulgación de vulnerabilidades.
Si tiene alguna pregunta o duda sobre seguridad, envíe un correo electrónico a aws-security@amazon.com.