AWS CLI ARM版本中OpenSSL库的安全更新问题解析
项目地址: https://gitcode.com/GitHub_Trending/aw/aws-cli 背景介绍
AWS CLI作为亚马逊云服务的重要命令行工具，其安全性一直备受关注。近期在ARM架构的Linux系统上，安全扫描工具Tenable报告了AWS CLI中捆绑的OpenSSL库版本存在安全更新需求的问题。这一问题主要影响使用aarch64架构的系统，涉及OpenSSL 1.1.1y版本被认为已经过时，需要升级到最新的1.1.1za版本。
技术细节分析
在ARM架构的AWS CLI安装包中，包含了两个关键的动态链接库文件：
- libcrypto.so.1.1
- libssl.so.1.1
这些文件位于/usr/local/aws-cli/v2/{版本号}/dist/目录下。安全扫描工具检测到这些文件的版本为1.1.1y，而OpenSSL基金会已经发布了更新的1.1.1za版本，修复了包括CVE-2024-5535在内的多个安全更新。
值得注意的是，x86_64架构的AWS CLI安装包采用了静态链接方式，不会在安装目录下留下这些单独的.so文件，因此不会触发相同的安全警报。这种架构差异导致了安全扫描结果的不一致性。
安全风险评估
虽然报告的CVE-2024-5535更新在CVSS v3评分系统中被标记为9.1分（高危），但OpenSSL官方评估其实际风险为低危级别。这是因为：
- 该更新主要影响使用NPN（Next Protocol Negotiation）而非更现代的ALPN（Application-Layer Protocol Negotiation）的应用程序
- 需要特定的应用程序配置或编程错误才能被利用
- 攻击者通常难以控制利用条件
解决方案与建议
AWS团队已在2.17.56版本中将ARM架构的OpenSSL库更新至1.1.1za版本。对于用户而言，可以采取以下措施：
-
升级AWS CLI：将AWS CLI升级到最新版本（2.17.56或更高）以获取安全更新
-
评估实际风险：根据OpenSSL官方的风险评估，该更新的实际威胁较低，企业可以根据自身安全策略决定响应优先级
-
架构差异认知：了解x86_64和ARM架构下AWS CLI的不同打包方式，避免对安全扫描结果的误判
未来发展方向
目前AWS团队表示暂时没有计划将ARM版本的AWS CLI改为静态链接方式。这种架构差异可能会持续存在，用户在安全评估时需要特别注意这一点。对于高度关注安全的企业，可以考虑：
- 监控AWS CLI的版本更新
- 建立针对ARM架构的特殊安全评估流程
- 考虑在安全策略中对不同架构的软件包采取差异化处理
总结
AWS CLI在ARM架构下的OpenSSL库版本问题展示了软件安全管理的复杂性。虽然最新版本已经解决了这一问题，但它提醒我们需要关注不同架构下的软件打包差异，以及如何正确评估安全更新的实际风险。作为用户，保持软件更新和了解底层技术细节是确保安全的最佳实践。
创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
