Amazon Web Services 패치 ‘Superglue’ 취약점

Orca Security Research 팀은 계정에 대한 무단 액세스를 허용하고 민감한 파일을 유출하는 데 사용되었을 수 있는 두 가지 Amazon Web Services(AWS) 도구의 결함을 공개적으로 공개했습니다. 두 오류 모두 완전히 수정되었습니다.

우수한 껌

Orca라는 첫 번째 결함 우수한 껌, 사용자가 다른 AWS Glue 사용자가 관리하는 정보에 액세스하기 위해 악용할 수 있는 AWS Glue의 문제였습니다.

아마존 웹 서비스(AWS) 설명하다 Gum은 “분석, 기계 학습 및 응용 프로그램 개발을 위한 데이터 검색, 준비 및 통합을 용이하게 하는 서버리스 데이터 통합 ​​서비스”입니다. AWS 고객이 이를 사용하여 대량의 데이터를 관리한다고 해도 과언이 아닙니다. 실제로 AWS는 Glue 사용자가 최대 백만 개의 객체를 무료로 저장할 수 있도록 허용합니다.

Orca는 “AWS 서비스의 계정 내에서 역할 자격 증명을 얻기 위해 악용될 수 있는 AWS Glue의 기능을 정의할 수 있었습니다.”라고 말하면서 서비스의 내부 API에 대한 전체 액세스 권한을 얻을 수 있었습니다. 내부 Glue Service API의 내부 구성을 잘못 설정하는 것 외에도 전체 관리 권한을 포함하여 해당 지역의 모든 서비스 리소스에 제한 없이 액세스할 수 있는 지점까지 계정 내 권한을 확대할 수 있었습니다. “

회사는 이 결함을 다음과 같이 악용할 수 있다고 말합니다.

1. Glu가 신뢰하는 AWS 고객 계정에 대한 역할을 맡습니다. 글루를 사용하는 모든 계정에는 이러한 역할이 하나 이상 있습니다.
2. 리전에서 AWS Glue 관련 리소스를 쿼리하고 수정합니다. 여기에는 붙여넣기 작업, 개발 엔드포인트, 워크플로, 크롤러 및 트리거에 대한 메타데이터가 포함되지만 이에 국한되지 않습니다.

Orca는 제어하는 ​​여러 계정을 사용하여 다른 AWS Glue 사용자가 관리하는 정보에 액세스할 수 있는 기능을 확인했다고 밝혔습니다. 회사는 이 결함을 조사하는 동안 다른 사람의 데이터에 액세스할 수 없었습니다. 또한 AWS는 공개에 몇 시간 이내에 대응했고 다음날 부분적으로 완화되었으며 “며칠 후” 문제를 완전히 완화했다고 합니다.

휴식 형성

두 번째 결함은 AWS인 AWS CloudFormation에 영향을 미쳤습니다. 말한다 “인프라를 코드로 처리하여 AWS 및 타사 리소스를 모델링, 프로비저닝 및 관리할 수 있습니다.” (이 “코드로서의 인프라” 모델은 클라우드로 이동함에 따라 네트워크와 도구를 보다 편리하게 설정하고 유지 관리하려는 기업들 사이에서 점점 인기를 얻고 있습니다.)

범고래 부르다 두 번째 결함은 BreakingFormation이며 “취약한 서버에서 민감한 파일을 유출하고 서버 측 요청(SSRF)을 AWS의 내부 인프라 서비스 자격 증명의 무단 공개에 취약하게 만드는 데 사용될 수 있었다”고 말합니다. 결함이 AWS에 공개된 후 “6일 이내에 완전히 완화되었습니다”라고 말합니다.

PC 노트 AWS VP Colm MacCárthaigh는 Twitter에서 BreakingFormation 버그에 대한 자세한 정보를 제공했습니다. MacCárthaigh의 첫 번째 트윗은 이 결함이 Orca가 “모든 AWS 계정의 모든 AWS 리소스에 액세스할 수 있음”을 보여주었다는 주장에 응답했습니다! 다음과 같이:

Orca CTO Yoav Alon도 짹짹 CloudFormation의 범위는 원래 Tweet이 만든 것만큼 넓지 않았습니다. Orca의 발견에 대한 스레드와 함께 MacCárthaigh를 따르십시오.