AWS Nitro Enclaves, due falle espongono codice e chiavi crittografiche

🛡️ Executive Summary

• CVE-2026-119116 consente potenzialmente l’esecuzione di codice all’interno di un’enclave tramite messaggi vsock malevoli diretti al componente kmstool-enclave.
• CVE-2026-119148 riguarda la validazione della regione AWS e può permettere la falsificazione delle risposte KMS, compresa la restituzione di materiale crittografico scelto dall’attaccante.
• Le vulnerabilità interessano aws-nitro-enclaves-sdk-c fino alla versione 0.4.5. AWS ha rilasciato la versione 0.4.6 e richiede di ricostruire le immagini delle enclave.

Amazon Web Services corregge due vulnerabilità nel Nitro Enclaves SDK for C, un componente utilizzato per sviluppare applicazioni destinate ad ambienti di esecuzione isolati all’interno delle istanze EC2. Le falle, identificate come CVE-2026-119116 e CVE-2026-119148, coinvolgono rispettivamente la gestione della memoria in uno strumento d’esempio e la costruzione dell’indirizzo del servizio AWS Key Management Service. Le conseguenze potenziali comprendono l’esecuzione di codice arbitrario all’interno dell’enclave e la falsificazione delle risposte contenenti materiale crittografico. Il bollettino 2026-157-AWS, pubblicato il 30 ottobre 2026, individua nella versione 0.4.6 la correzione per entrambi i problemi. Non sono disponibili soluzioni alternative: gli sviluppatori interessati devono aggiornare la libreria e ricostruire le immagini utilizzate in produzione.

Nitro Enclaves protegge i dati isolandoli dalle istanze EC2

Per comprendere la gravità delle vulnerabilità occorre considerare il modello di sicurezza di AWS Nitro Enclaves, tecnologia progettata per eseguire applicazioni che elaborano informazioni particolarmente sensibili in un ambiente separato dal sistema operativo principale. Una Nitro Enclave utilizza risorse di memoria e CPU allocate da un’istanza Amazon EC2, ma non dispone di una normale connessione di rete esterna, di accesso SSH o di archiviazione persistente. La comunicazione con l’istanza principale avviene attraverso un canale locale vsock, mentre i meccanismi di attestazione crittografica permettono di dimostrare l’identità dell’ambiente e le caratteristiche del codice eseguito. Questa architettura è utilizzabile per proteggere operazioni crittografiche, elaborare credenziali e trattare dati che non devono essere esposti direttamente ai processi dell’host. L’integrazione con AWS Key Management Service (KMS) consente inoltre di associare determinate operazioni sulle chiavi alle informazioni di attestazione dell’enclave. Il modello si basa dunque su una distinzione precisa tra ambiente principale e componente isolato, ma la sicurezza dipende anche dall’affidabilità del software che gestisce le comunicazioni attraverso tale confine. Il nuovo bollettino AWS 2026-157-AWS riguarda proprio questa superficie: non una vulnerabilità generalizzata dell’hypervisor Nitro, bensì due problemi nell’SDK C utilizzato da specifiche applicazioni.

CVE-2026-119116 permette di colpire la memoria dentro l’enclave

La prima vulnerabilità, CVE-2026-119116, è un difetto use-after-free presente nel gestore del comando SetClient dell’applicazione di esempio kmstool-enclave. Un use-after-free si verifica quando un programma continua a utilizzare una porzione di memoria dopo che questa è stata liberata, creando le condizioni per comportamenti imprevisti, corruzione dei dati o, in scenari sfruttabili, esecuzione di codice. Nel caso individuato da AWS, un’applicazione in esecuzione sull’istanza EC2 principale può inviare messaggi appositamente costruiti attraverso il canale vsock, inducendo una corruzione della memoria heap all’interno dell’enclave. Il risultato potenziale è l’esecuzione di codice arbitrario nell’ambiente che dovrebbe rimanere isolato. La portata della falla è tuttavia delimitata con precisione: sono interessate soltanto le immagini che includono kmstool-enclave o codice derivato da quell’applicazione. Non è quindi corretto attribuire automaticamente la stessa esposizione a qualunque applicazione che utilizzi Nitro Enclaves. Il rischio nasce dall’interazione tra il componente vulnerabile e messaggi provenienti dall’istanza principale; non equivale alla possibilità per un utente remoto qualsiasi di accedere direttamente a un’enclave. La scoperta è stata segnalata dai ricercatori di Trail of Bits, che AWS ringrazia per la collaborazione nella procedura di divulgazione coordinata.

Leggi anche: Anthropic integra il team Opaque per proteggere i dati riservati nell’AI

CVE-2026-119148 apre alla falsificazione delle risposte AWS KMS

La seconda vulnerabilità introduce un problema differente, perché non riguarda direttamente la memoria del processo ma la validazione dell’input utilizzato per identificare il server AWS KMS. Con CVE-2026-119148, la libreria costruisce il nome del server KMS utilizzando una stringa relativa alla regione AWS fornita dal chiamante. Se un soggetto terzo riesce a controllare tale valore, può predisporre una regione manipolata per indirizzare la comunicazione verso una destinazione malevola che si presenta come il servizio KMS atteso. La conseguenza descritta nel bollettino è la possibilità di impersonare KMS nei confronti dell’enclave e introdurre risposte falsificate, comprese quelle contenenti materiale crittografico scelto dall’attaccante. La distinzione tecnica è decisiva: AWS non sta segnalando una compromissione generalizzata del servizio KMS né il furto documentato delle chiavi dei clienti, ma una debolezza nel modo in cui un’applicazione costruita con l’SDK può individuare e considerare attendibile il servizio remoto. Il rischio riguarda quindi l’integrità delle risposte e l’affidabilità delle operazioni che dipendono da esse. A differenza della prima falla, CVE-2026-119148 interessa la libreria SDK stessa, indipendentemente dall’inclusione dello specifico esempio kmstool-enclave. Questo amplia la superficie potenziale alle applicazioni che utilizzano le versioni vulnerabili della libreria e le relative funzionalità.

Versione 0.4.6 obbligatoria: le immagini enclave devono essere ricostruite

AWS indica come vulnerabili le versioni di aws-nitro-enclaves-sdk-c fino alla 0.4.5 inclusa, precisando che la prima CVE riguarda il componente d’esempio mentre la seconda interessa direttamente la libreria. Entrambi i difetti sono stati corretti nella versione 0.4.6, ma il semplice aggiornamento del repository sorgente o del pacchetto utilizzato durante lo sviluppo non garantisce che tutte le applicazioni già distribuite siano protette. Le enclave vengono normalmente avviate da immagini costruite per contenere il codice e le dipendenze necessarie all’esecuzione; se un’immagine incorpora una libreria vulnerabile, continuerà a utilizzarla fino alla ricostruzione e alla distribuzione della versione corretta. AWS richiede infatti ai clienti di aggiornare l’SDK e ricostruire le proprie immagini enclave, senza indicare workaround alternativi. Per gli amministratori la verifica deve quindi comprendere il censimento delle applicazioni che utilizzano il progetto aws-nitro-enclaves-sdk-c, l’identificazione delle versioni incorporate, l’eventuale presenza di codice derivato da kmstool-enclave e la sostituzione delle immagini operative. È inoltre opportuno validare il funzionamento delle operazioni KMS dopo l’aggiornamento, verificando che le applicazioni mantengano il comportamento atteso e che i meccanismi di attestazione siano correttamente integrati. Il bollettino non documenta attacchi attivi né fornisce indicatori di compromissione specifici: non esistono dunque elementi sufficienti per affermare che enclave già operative siano state effettivamente violate attraverso queste CVE.

La sicurezza del confidential computing dipende anche dal software

Le vulnerabilità individuate nell’SDK mostrano un limite operativo importante delle architetture di confidential computing: l’isolamento hardware costituisce una protezione fondamentale, ma non elimina i difetti presenti nel software autorizzato a comunicare con l’ambiente protetto. Una Nitro Enclave può impedire l’accesso diretto alla propria memoria da parte del sistema operativo dell’istanza principale, ma resta necessario analizzare e gestire correttamente i messaggi ricevuti attraverso i canali consentiti. Allo stesso modo, la presenza di meccanismi di attestazione non garantisce automaticamente che ogni indirizzo costruito da un’applicazione sia affidabile o che i valori restituiti da un servizio esterno siano autentici. Il problema è particolarmente rilevante per le organizzazioni che utilizzano enclave per proteggere chiavi, credenziali, dati personali e operazioni crittografiche, comprese imprese europee soggette a requisiti rigorosi di sicurezza e protezione dei dati. Il bollettino non identifica vittime italiane né incidenti confermati, ma introduce un obbligo tecnico concreto per chi distribuisce applicazioni costruite sulle versioni vulnerabili dell’SDK C. La versione 0.4.6 e la ricostruzione delle immagini costituiscono l’intervento correttivo necessario, mentre il caso conferma che il perimetro di fiducia di un ambiente isolato comprende inevitabilmente le librerie, i protocolli di comunicazione e i componenti che ne gestiscono le operazioni crittografiche.