リリース

影響確認 (2)

• securityaws_iid の PKCS7 認証におけるアイデンティティ検証の修正

  aws_iid サーバーノードアテスタープラグインを使用している場合に適用されます。

  aws_iid のサーバーノードアテスターで、RSA-2048 PKCS7 の認証経路が埋め込みコンテンツに対して PKCS7 署名を検証した後、認証データ内の攻撃者が制御できる別フィールドから読み取ったアイデンティティドキュメントを返していました。任意の EC2 インスタンスを制御できる攻撃者が別のインスタンスになりすまし、その偽造されたアイデンティティに基づいて後続の認証判定が行われる問題を修正しました。

• security参加トークンの並行認証処理を修正

  適用対象はリリースノートに明記されていません。

  join token data store の処理で、同じトークンを使った認証が並行して実行されると、tx.Delete() が削除対象の行がなかったことを報告しないため、複数の認証が成功する TOCTOU 問題を修正しました。行ロック付きの read-modify-write トランザクションを使い、削除された行が必ず1件だけであることを検証します。

影響確認 (1)

• securityaws_iid の RSA-2048 PKCS7 ノード認証における身元文書検証の修正

  aws_iid サーバーノードアテスタープラグインを使用している場合に適用されます。

  aws_iid サーバーノードアテスターで、RSA-2048 の PKCS7 認証経路が署名を埋め込みコンテンツに対して検証する一方、認証データ内の攻撃者が制御できる別フィールドから身元文書を読み取っていた問題を修正しました。これにより、任意の EC2 インスタンスを制御する攻撃者が、ノード認証中に別の EC2 インスタンスになりすまし、後続の認証判断に偽の身元情報が使われる状態が解消されます。