AWS פרסמה ב-30 באוקטובר 2026 עדכון אבטחה לשתי חולשות ב-AWS Nitro Enclaves SDK for C. שתי הבעיות משפיעות על גרסאות עד 0.4.5, ותוקנו בגרסה 0.4.6. לפי הודעת החברה, אין דרך מעקף זמנית: ארגונים שמשתמשים ברכיבים הפגיעים צריכים לשדרג את ה-SDK ולבנות מחדש את תמונות ה-Enclave.
CVE-2026-119116: פגיעה בזיכרון דרך vsock
החולשה הראשונה היא שימוש בזיכרון לאחר שחרור (use-after-free) במטפל SetClient של kmstool-enclave. הודעת vsock שנבנתה במיוחד ונשלחת ממופע EC2 האב יכולה להשחית את ה-heap, ובתרחישים מסוימים לאפשר הרצת קוד בתוך ה-Enclave.
AWS מדגישה שרק תמונות Enclave שכוללות את kmstool-enclave, או רכיב שנגזר ממנו, מושפעות. עצם השימוש ב-Nitro Enclaves אינו מספיק כדי לקבוע חשיפה; יש לבדוק מה נארז בפועל בתמונה.
CVE-2026-119148: בניית שם שרת KMS מקלט נשלט
בחולשה השנייה, ערך האזור שסופק בידי הקורא שימש לבניית שם שרת KMS. אזור זדוני יכול לגרום לרכיב לפנות לשרת שמתחזה ל-KMS ולהחזיר תגובות מזויפות. המשמעות היא שסביבת אמון שאמורה לבודד פעולות רגישות עלולה לקבל תשובה מגורם שאינו שירות KMS האמיתי.
מה צוותי ענן צריכים לעשות
- למפות אילו Enclave Images כוללות את AWS Nitro Enclaves SDK for C ואת
kmstool-enclave. - לעדכן את התלות לגרסה 0.4.6 או חדשה ממנה.
- לבנות מחדש את תמונת ה-Enclave; החלפת ספריית המקור בלבד אינה משנה תמונה שכבר נבנתה.
- לפרוס מחדש, לאמת את מדידות ה-Enclave ולבדוק שהיישומים מקבלים תגובות KMS צפויות.
- לתעד את גרסת ה-SDK כחלק מ-SBOM כדי לזהות במהירות תמונות ישנות בעתיד.
האירוע ממחיש עיקרון חשוב בעבודה עם סביבות ביצוע מבודדות: תיקון קוד המקור אינו סוגר את החשיפה עד שכל הארטיפקטים הבנויים ממנו מוחלפים. במקרה זה, AWS מציינת במפורש שאין workaround, ולכן בנייה ופריסה מחדש הן חלק מהתיקון ולא פעולה אופציונלית.
מקור
AWS Security Bulletin: AWS Nitro Enclaves SDK for C issues, פורסם ב-30 באוקטובר 2026.
קרדיט תמונה: wutthichai charoenburi / Pexels. מקור: דף התמונה ב-Pexels. רישיון Pexels Free מתיר שימוש באתר, ברשתות חברתיות ובשיווק וכן עריכה; לתמונה אין זיקה ל-AWS או ל-Nitro Enclaves.
