01 · Contexto
Qué está ocurriendo
El 30 de octubre, AWS publicó el boletín 2026-157 sobre dos fallas en aws-nitro-enclaves-sdk-c, biblioteca utilizada para construir aplicaciones dentro de Nitro Enclaves e interactuar con KMS mediante atestación criptográfica. Las versiones hasta v0.4.5 están afectadas; v0.4.6 contiene las correcciones. El proveedor indica que no hay soluciones alternativas y que es necesario actualizar y reconstruir las imágenes que consumen la biblioteca.
CVE-2026-119116 corresponde a un uso de memoria después de liberarla en SetClient, dentro del ejemplo kmstool-enclave. Una aplicación en la instancia EC2 principal podría enviar mensajes manipulados por vsock y lograr ejecución de código dentro del enclave. Ese problema afecta únicamente imágenes que incorporen el ejemplo o código derivado. CVE-2026-119148, en cambio, afecta la validación de la región usada para formar el nombre del servidor KMS: una entrada manipulada podría permitir suplantarlo e introducir respuestas falsas.
La versión corregida también incorpora pruebas de regresión y ajustes defensivos en rutas de error y procesamiento de datos. Esos cambios pertenecen al SDK y sus herramientas; el aviso no describe una falla universal de la infraestructura Nitro ni informa explotación observada.
02 · Impacto
Por qué importa
Como análisis, el caso recuerda que una frontera de aislamiento no convierte automáticamente en confiables los mensajes que la atraviesan. La aplicación dentro de un enclave sigue teniendo parsers, memoria y decisiones sobre destinos externos. También muestra un riesgo de reutilizar ejemplos: un componente que comenzó como demostración puede terminar formando parte de una imagen operativa. Para los equipos de desarrollo y seguridad, la prioridad es identificar qué código se incorporó realmente y qué imágenes lo contienen. No corresponde concluir que todos los enclaves estén comprometidos ni confundir una vulnerabilidad divulgada con evidencia de un incidente en una organización determinada.
03 · Recomendaciones
Qué conviene hacer
- Como recomendación, localice primero las aplicaciones que usan el SDK de C y distinga si incluyen kmstool-enclave o una adaptación. Registre versión, responsable, proceso de construcción e imagen desplegada. Revisar solo el repositorio principal puede omitir una copia incorporada en otra dependencia o en una imagen anterior.
- Prepare la actualización en un entorno controlado, reconstruya las imágenes y verifique las operaciones legítimas con KMS y el comportamiento ante entradas inválidas. Planifique el despliegue con reversión y compruebe después qué versión quedó activa. Si su aplicación depende de políticas asociadas a mediciones del enclave, revise esa relación dentro del procedimiento autorizado de actualización, sin relajar controles para acelerar la entrega.