Ciekawa podatność w AWS

Na problem wskazuje Datadog Security Labs, firma zajmująca się bezpieczeństwem w chmurze. Według nich osoba atakująca może wykorzystać usługę AWS AppSync do przejęcia ról zarządzania tożsamością i dostępem (IAM) na innych kontach AWS. AppSync umożliwia programistom tworzenie interfejsów API GraphQL i Pub/Sub, każdy z powiązanym źródłem danych, a także bezpośrednie wywoływanie interfejsów API AWS, tworząc integracje z usługami AWS, co wymaga zdefiniowania ról z uprawnieniami IAM.

Zidentyfikowana luka opisana została jako „problem zdezorientowanego zastępcy”, ponieważ pozwala mniej uprzywilejowanej jednostce (atakującemu) oszukać bardziej uprzywilejowaną jednostkę (AppSync), aby wykonała określone działania w jej imieniu.

Aby zapobiec takim atakom, podczas tworzenia źródła danych AWS sprawdza poprawność unikalnego identyfikatora roli o nazwie Amazon Resource Name (ARN) względem konta AWS. Jeśli nie pasują, interfejs API wyświetla błąd.

Datadog Security Labs odkryło, że: „interfejs API akceptował ładunki JSON z właściwościami, w których używano mieszanych wielkości liter” podczas sprawdzania poprawności. ARN jest przekazywany w parametrze serviceRoleArn, którego można użyć do ominięcia procesu sprawdzania poprawności, jeśli podany został w innej wielkości liter.

Zasadniczo mechanizm pozwolił firmie zajmującej się bezpieczeństwem w chmurze „dostarczyć ARN rolę na innym koncie AWS”.

„Pomijając sprawdzanie poprawności ARN, byliśmy w stanie stworzyć źródła danych AppSync powiązane z rolami na innych kontach AWS. Umożliwiłoby to atakującemu interakcję z dowolnym zasobem powiązanym z rolą, która ufa usłudze AWS AppSync na dowolnym koncie” — zauważa Datadog.

Wada bezpieczeństwa, jak wyjaśnia firma, może zostać wykorzystana do stworzenia źródeł danych API AppSync wskazujących zasoby na innych kontach AWS, zasadniczo uzyskując dostęp do danych na tych kontach.

Datadog, który opublikował kod proof-of-concept (PoC) ukierunkowany na lukę, zgłosił problem do AWS 1 września. Łatka została wprowadzona 6 września.

W ubiegłym tygodniu AWS opublikował poradnik dotyczący luki, potwierdzając, że mogła ona zostać wykorzystana do obejścia weryfikacji użycia ról między kontami AppSync i dostępu do zasobów na innych kontach klientów.

„Ten problem nie dotyczył żadnego klienta i nie jest wymagane żadne działanie klienta. Przeprowadzono analizę logów sięgającą wstecz do uruchomienia usługi i ostatecznie ustaliliśmy, że jedyna aktywność związana z tym problemem odbywała się pomiędzy kontami należącymi do badacza. Żadne inne konta klientów nie zostały naruszone” — zauważa AWS.