CVE-2026-6550 - AWS Encryption SDK for Python의 공유 키 캐시를 통한 키 커밋 정책 우회
공지 ID: 2026-017-AWS
범위: AWS
콘텐츠 유형: 중요(주의 필요)
게시일: 2026년 4월 20일 오전 9시 15분(PDT)
설명:
AWS Encryption SDK for Python(ESDK)은 클라이언트 측 암호화 라이브러리입니다. 공유 키 캐시를 통한 키 커밋 정책 우회 문제를 설명하는 CVE-2026-6550을 확인했습니다.
버전 3.3.1 이전 및 버전 4.0.5 이전의 Amazon AWS Encryption SDK for Python의 캐싱 계층에서 발생하는 암호화 알고리즘 다운그레이드로 인해 인증된 로컬 위협 행위자가 공유 키 캐시를 통해 키 커밋 정책 적용을 우회할 수 있으며, 그 결과 암호문이 여러 다른 평문으로 복호화될 수 있습니다.
영향을 받는 버전:
- 2.0부터 2.5.1까지
- 3.0부터 3.3.0까지
- 4.0부터 4.0.4까지
해결 방법:
이 문제는 ESDK for Python 버전 3.3.1 및 4.0.5에서 해결되었습니다. 모든 포크 코드 또는 파생 코드가 패치된 최신 버전으로 업그레이드하여 새로운 수정 사항을 반영하세요.
대안:
고객이 각각 다르게 구성된 키 커밋 정책을 사용하여 Python ESDK의 여러 인스턴스를 운영해야 하는 경우 키 캐시를 공유해서는 안 됩니다.
참고 사항:
도움을 주신 분:
조정된 취약성 공개 프로세스를 통해 이 문제 해결에 도움을 준 1seal.org에 감사합니다.
보안 관련 질문이나 우려 사항이 있는 경우 aws-security@amazon.com으로 문의하세요.