01 · Contexto
Qué está ocurriendo
AWS publicó el 14 de octubre de 2026 el boletín 2026-135 sobre CVE-2026-110310 en Amazon S3 Encryption Client para .NET. Describe una modificación de metadatos que puede forzar el uso del esquema heredado RSA PKCS#1 v1.5. Un oráculo de relleno podría permitir recuperar la clave de envoltura y descifrar el objeto bajo las condiciones descritas por el proveedor.
La compañía ofrece correcciones en las versiones 3.2.2 y 4.0.3 para sus respectivas ramas. También indica que las líneas 1.x y 2.x no recibirán parches y requieren migración. El boletín no ofrece una mitigación alternativa. La fecha del anuncio no debe interpretarse como fecha de un incidente en una organización ni como evidencia de explotación activa.
Análisis editorial: mantener compatibilidad con un formato antiguo puede ampliar la superficie de ataque incluso cuando el flujo habitual utiliza mecanismos más recientes. La revisión de una aplicación debería considerar también los caminos de lectura de objetos históricos, los metadatos que acepta y las diferencias entre productores y consumidores de información cifrada.
02 · Impacto
Por qué importa
Para equipos .NET, el trabajo puede involucrar una actualización de paquete o una migración de rama, según la implementación real. Nuestra evaluación es que una compilación exitosa no basta para cerrar este cambio: también importa demostrar que se leen los datos legítimos que el negocio necesita y que los formatos rechazados fallan de manera controlada. El aviso se refiere al cliente de cifrado indicado; no debe generalizarse como una ruptura de todo el cifrado de S3.
03 · Recomendaciones
Qué conviene hacer
- Inventariar el uso concreto del cliente y sus versiones en aplicaciones, procesos por lotes y componentes compartidos. Revisar dependencias transitivas y artefactos distribuidos, conservando evidencia de cuáles participan realmente en el descifrado de objetos.
- Preparar la actualización o migración con un conjunto de datos sintéticos que represente los formatos permitidos. Verificar lectura, escritura, manejo de errores y compatibilidad entre servicios, sin utilizar información de clientes en pruebas ni registrar claves o contenido descifrado.
- Definir responsable, ventana de cambio y criterio de reversión que no reintroduzca silenciosamente la versión vulnerable. Tras desplegar, comprobar las versiones efectivas y los resultados de las pruebas. Mantener separados el cierre de la dependencia y cualquier investigación de exposición histórica que requiera evidencia adicional.