远程主机 2.x 上安装的 NuGet 程序包“Amazon.Extensions.S3.Encryption”（适用于 .NET 的 Amazon S3 加密客户端）版本高于或等 2.1.0于 、 3.x3.2.2或低于 、 4.0.x4.0.3或低于 。因此，它受到一个 padding oracle 漏洞的影响。如果远程用户能够读取 S3 存储桶中的加密对象，则可通过将对象元数据中记录的 padding 方案更改为旧版 PKCS#1 v1.5，强制进行 padding 降级。
由于此 padding 方案容易遭受众所周知的 Bleichenbacher 攻击，用户可使用 PKCS#1 v1.5 padding oracle 恢复 RSA 封装的信封密钥并解密对象。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

NuGet 程序包“Amazon.Extensions.S3.Encryption” 2.1.x <= 2.3.0 / 3.x < 3.2.2 / 4.0.x < 4.0.3 RSA Padding Oracle

medium Nessus 插件 ID 373616

版本 1.2