AWS CLI ARM版本中OpenSSL库的安全更新问题解析

背景介绍

AWS CLI作为亚马逊云服务的重要命令行工具，其安全性一直备受关注。近期在ARM架构的Linux系统上，安全扫描工具Tenable报告了AWS CLI中捆绑的OpenSSL库版本存在安全更新需求的问题。这一问题主要影响使用aarch64架构的系统，涉及OpenSSL 1.1.1y版本被认为已经过时，需要升级到最新的1.1.1za版本。

技术细节分析

在ARM架构的AWS CLI安装包中，包含了两个关键的动态链接库文件：

• libcrypto.so.1.1
• libssl.so.1.1

这些文件位于/usr/local/aws-cli/v2/{版本号}/dist/目录下。安全扫描工具检测到这些文件的版本为1.1.1y，而OpenSSL基金会已经发布了更新的1.1.1za版本，修复了包括CVE-2024-5535在内的多个安全更新。

值得注意的是，x86_64架构的AWS CLI安装包采用了静态链接方式，不会在安装目录下留下这些单独的.so文件，因此不会触发相同的安全警报。这种架构差异导致了安全扫描结果的不一致性。

安全风险评估

虽然报告的CVE-2024-5535更新在CVSS v3评分系统中被标记为9.1分（高危），但OpenSSL官方评估其实际风险为低危级别。这是因为：

1. 该更新主要影响使用NPN（Next Protocol Negotiation）而非更现代的ALPN（Application-Layer Protocol Negotiation）的应用程序
2. 需要特定的应用程序配置或编程错误才能被利用
3. 攻击者通常难以控制利用条件

解决方案与建议

AWS团队已在2.17.56版本中将ARM架构的OpenSSL库更新至1.1.1za版本。对于用户而言，可以采取以下措施：

1. 升级AWS CLI：将AWS CLI升级到最新版本（2.17.56或更高）以获取安全更新

2. 评估实际风险：根据OpenSSL官方的风险评估，该更新的实际威胁较低，企业可以根据自身安全策略决定响应优先级

3. 架构差异认知：了解x86_64和ARM架构下AWS CLI的不同打包方式，避免对安全扫描结果的误判

未来发展方向

目前AWS团队表示暂时没有计划将ARM版本的AWS CLI改为静态链接方式。这种架构差异可能会持续存在，用户在安全评估时需要特别注意这一点。对于高度关注安全的企业，可以考虑：

1. 监控AWS CLI的版本更新
2. 建立针对ARM架构的特殊安全评估流程
3. 考虑在安全策略中对不同架构的软件包采取差异化处理

总结

AWS CLI在ARM架构下的OpenSSL库版本问题展示了软件安全管理的复杂性。虽然最新版本已经解决了这一问题，但它提醒我们需要关注不同架构下的软件打包差异，以及如何正确评估安全更新的实际风险。作为用户，保持软件更新和了解底层技术细节是确保安全的最佳实践。