Google 应用出海指南针第五期
快出海  > AWS  >  Orca协助AWS修复Superglue和BreakingFormation数据泄露漏洞

Orca协助AWS修复Superglue和BreakingFormation数据泄露漏洞

来源:cnBeta.COM
作者:raymon725
时间:2022-01-16
近日,亚马逊云服务被曝正在修补所谓的“强力胶”(Superglue)漏洞。此外还有一个被称作AWS CloudFormation的Bug,攻击者可利用它们摸到其他用户的敏感数据。

近日,亚马逊云服务被曝正在修补所谓的“强力胶”(Superglue)漏洞。此外还有一个被称作AWS CloudFormation的Bug,攻击者可利用它们摸到其他用户的敏感数据。Orca安全研究团队率先披露了AWS工具中的缺陷,庆幸的是两个Bug都已得到完全修补。

D4D9338B-29CB-4998-867D-8C03A65F7CC6.gif

(来自:Orca Security)

首先聊聊Superglue漏洞,用户可借此访问其他AWS Glue用户管理的信息。

AWS官方宣称Glue是一项无服务器的数据集成服务,旨在轻松发现、准备和组合那些用于分析、机器学习和应用程序开发的数据。

事实上,亚马逊服务的体量着实庞大,以至于Glue用户能够免费存储多达百万个对象。

Orca指出——我们能够识别AWS Glue中的一项功能,它可用于获取AWS官方服务账户中的某个角色的凭证,从而赋予了对内部服务API的完全访问权限。

结合内部错误配置和Glue内部访问API,我们得以将帐户内的权限进一步提升至不受限的水平,包括以完全的管理权限访问某个区域的所有资源。

7DE69D19-5F27-4DF9-B45D-44D0BF3D50D4.png

在受Glue服务信任的AWS客户账户中,至少都有一个类似角色的账户。

得逞后,攻击者能够查询和修改区域内的相关资源,包括但不限于Glue作业、开发端点、工作流、爬虫、触发器等元数据。

Orca证实——其已确认通过该漏洞控制众多账户、以访问其他AWS Glue用户管理的信息的能力。

庆幸的是,漏洞披露不久后,亚马逊在数小时内就做出了回应,并于第二日实施了部分缓解,直到数日后彻底封堵了相关问题。

5772C209-3D41-4E46-AFDF-566C054785E1.png

第二个漏洞影响到了AWS CloudFormation,通过将基础设施视作代码,用户可对第一和第三方资源开展建模、预置和管理。

这种“基础设施即代码”的范式,已于近年来愈加受到客户的青睐。在迁移至云端的时候,其配置与维护的便利性也相当出众。

然而被称作BreakingFormation的第二个Bug,却可被用于泄露在易受攻击的服务器上发现的机密文件。

此外服务器端请求(SSRF)易受未经授权披露内部AWS基础设施服务凭证的影响——庆幸的是,该漏洞在向AWS披露六天内完成了彻底修复。

A52130CE-ED30-4653-AD0A-B7FDD4EA5D5F.png

最后,Bleeping Computer分享了AWS副总裁Colm MacCárthaigh在Twitter上披露的与BreakingFormation漏洞有关的更多细节,且一开始就承认了Orca能够获得对所有AWS账户资源的访问权限的说法。

然后Orca首席技术官Yoav Alon回应称CloudFormation的暴露范围,并不像最初预期的那样广泛。

我们立即向AWS通报了该问题,后者迅速采取了行动来解决这个问题。

AWS安全团队在不到25小时内编写了首个修复程序,并于6日内落实到了所有AWS区域。

Orca安全研究人员帮助测试了修复补丁,以确保妥善解决相关问题,且我们能够验证其不会再遭到利用。

立即登录,阅读全文
AWS
版权说明

本文内容来自于cnBeta.COM,本站不拥有所有权,不承担相关法律责任。文章内容系作者个人观点,不代表快出海对观点赞同或支持。如有侵权,请联系管理员(zzx@kchuhai.com)删除!

相关文章
电信业变革:云计算带给运营商的五大益处
电信业变革:云计算带给运营商的五大益处
今天是世界电信和信息社会日。亚马逊云科技战略和业务发展部电信行业副总裁总经理Adolfo Hernandez为我们带来了电信行业现状及电信运营商面临的挑战分析,并分享了云计算对电信运营商推广5G的优势和益处。
Adolfo Hernandez
6天前
德勤管理咨询基于亚马逊云科技打造数据平台在车联网领域深入拓展
德勤管理咨询基于亚马逊云科技打造数据平台在车联网领域深入拓展
在企业数智化变革的浪潮中,云计算恰逢其时地成为了重要的催化剂之一。
亚马逊云科技
6天前
亚马逊云科技发现,电信运营商使用云技术推广5G的五个关键好处
亚马逊云科技发现,电信运营商使用云技术推广5G的五个关键好处
亚马逊云科技发现,电信运营商正面临着许多方面的挑战。在研究如何应对这些挑战时,电信运营商必须抓住机会,业务形成差异化,以更有效地竞争。
全球TMT
2022-05-17
弹性伸缩游戏服务器的优选-Amazon GameLift
弹性伸缩游戏服务器的优选-Amazon GameLift
上世纪八九十年代,甚至到21世纪初,我们可能难以想象,随着科技和互联网的发展,全球游戏行业会是联机游戏的天下,更难以想象,在移动平台的催化下,联机对战会成为全球的主流玩法之一。
游戏陀螺
2022-05-13
亚马逊云科技打造“云、数、智三位一体”服务组合,加速融合大数据和机器学习
亚马逊云科技打造“云、数、智三位一体”服务组合,加速融合大数据和机器学习
亚马逊云科技宣布推出“云、数、智三位一体”的大数据与机器学习融合服务组合,帮助企业推进大数据和机器学习的融合,将机器学习由实验转为规模化落地实践。
亚马逊云科技
2022-05-12
扫描关注获取更多 AWS 的相关信息
扫码登录
打开扫一扫, 关注公众号后即可登录/注册
加载中
二维码已失效 请重试
刷新
账号登录/注册
小程序
公众号
商务合作
投稿采访
出海管家
活动推荐
报名中 Snap 全球生态合作伙伴大会