CVE-2025-14764 in AWS S3 Encryption Client for Go

摘要

由 VulDB • 2026-05-09

Amazon S3 Encryption Client for Go 中缺少加密密钥承诺（cryptographic key commitment），可能导致拥有 S3 存储桶写权限的用户引入一个新的 EDK（加密数据密钥），当加密数据密钥存储在“指令文件”中而非 S3 的元数据记录中时，该 EDK 解密后会得到不同的明文。

为缓解此问题，请将 Amazon S3 Encryption Client for Go 升级至 4.0 或更高版本。

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• 负责: AMZN
• 预定: 2025-12-16
• 披露: 2025-12-17
• 管理: 已接受
• 条目: VDB-337042
• CPE: 准备好
• CWE: CWE-327 (已确认)
• CVSS: 5.3 (CNA)
• EPSS: 0.00097
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2025-14764
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-14764
• CVE Details: https://www.cvedetails.com/cve/CVE-2025-14764/