کشف سه آسیب‌پذیری امنیتی در کتابخانه رمزنگاری AWS-LC
کتابخانه رمزنگاری AWS-LC که به عنوان یک کتابخانه متن‌باز و چندمنظوره در زمینه رمزنگاری شناخته می‌شود، اخیراً با سه آسیب‌پذیری امنیتی مهم مواجه شده است که می‌تواند تأثیرات قابل توجهی بر امنیت سیستم‌های استفاده‌کننده از این کتابخانه داشته باشد. این آسیب‌پذیری‌ها که در نسخه‌های مختلف AWS-LC و نسخه‌های مرتبط آن مشاهده شده‌اند، شامل مشکلاتی در فرآیند اعتبارسنجی زنجیره گواهی‌ها، تحلیل زمان‌بندی در بررسی صحت تگ‌های AES-CCM و دورزدن اعتبارسنجی امضا در توابع PKCS7_verify می‌باشند.
اولین آسیب‌پذیری با شناسه CVE-۲۰۲۶-۳۳۳۶ مربوط به نادرستی در اعتبارسنجی زنجیره گواهی‌ها در تابع PKCS7_verify است. این نقص به کاربران غیرمجاز اجازه می‌دهد تا هنگام پردازش اشیاء PKCS7 با چند امضا کننده، اعتبارسنجی زنجیره گواهی‌ها را دور بزنند، به جز امضا کننده نهایی. این موضوع می‌تواند منجر به پذیرش گواهی‌های جعلی یا غیرمعتبر شود که به طور بالقوه امنیت ارتباطات رمزنگاری شده را به خطر می‌اندازد.
دومین آسیب‌پذیری با شناسه CVE-۲۰۲۶-۳۳۳۷ مربوط به یک کانال جانبی زمانی در فرآیند بررسی صحت تگ‌های AES-CCM است. در این مورد، اختلاف زمانی قابل مشاهده در فرآیند رمزگشایی AES-CCM می‌تواند به یک کاربر غیرمجاز این امکان را بدهد که از طریق تحلیل زمان‌بندی، صحت تگ احراز هویت را تشخیص دهد. این نوع آسیب‌پذیری‌ها معمولاً به حملات تحلیل جانبی منجر می‌شوند که می‌توانند اطلاعات حساس رمزنگاری شده را فاش کنند.
سومین آسیب‌پذیری با شناسه CVE-۲۰۲۶-۳۳۳۸ نیز مربوط به دورزدن اعتبارسنجی امضا در تابع PKCS7_verify است. در این حالت، اعتبارسنجی نادرست امضا هنگام پردازش اشیاء PKCS7 که دارای ویژگی‌های احراز هویت شده هستند، به کاربران غیرمجاز اجازه می‌دهد تا فرآیند تأیید امضا را دور بزنند. این نقص می‌تواند منجر به پذیرش داده‌های دستکاری شده یا جعلی شود.
نسخه‌های آسیب‌دیده این کتابخانه شامل نسخه‌های AWS-LC از ۱.۴۱.۰ تا قبل از ۱.۶۹.۰ و نسخه‌های aws-lc-sys از ۰.۲۴.۰ تا قبل از ۰.۳۸.۰ می‌باشند. همچنین نسخه‌های AWS-LC-FIPS و aws-lc-sys-fips در بازه‌های مشخصی نیز تحت تأثیر این آسیب‌پذیری‌ها قرار دارند.
این آسیب‌پذیری‌ها اهمیت به‌روزرسانی سریع و اعمال اصلاحات امنیتی در کتابخانه‌های رمزنگاری را برجسته می‌کنند، چرا که این کتابخانه‌ها به عنوان پایه‌ای برای امنیت داده‌ها و ارتباطات در بسیاری از سیستم‌ها و برنامه‌ها به کار می‌روند. کارشناسان امنیتی توصیه می‌کنند که توسعه‌دهندگان و مدیران سیستم‌ها هرچه سریع‌تر نسخه‌های آسیب‌دیده را به نسخه‌های اصلاح شده ارتقاء دهند تا از سوءاستفاده‌های احتمالی جلوگیری شود.
در نهایت، این رخداد بار دیگر نشان می‌دهد که حتی کتابخانه‌های رمزنگاری متن‌باز که به طور گسترده استفاده می‌شوند نیز می‌توانند دارای آسیب‌پذیری‌های امنیتی باشند و نیازمند بررسی و به‌روزرسانی مداوم هستند. توجه به این موضوع برای حفظ امنیت زیرساخت‌های فناوری اطلاعات حیاتی است.