近日，亞馬遜云服務(wù)被曝正在修補所謂的“強力膠”（Superglue）漏洞。此外還有一個被稱作 AWS CloudFormation 的 Bug，攻擊者可利用它們摸到其他用戶的敏感數(shù)據(jù)。Orca 安全研究團隊率先披露了 AWS 工具中的缺陷，慶幸的是兩個 Bug 都已得到完全修補。
首先聊聊 Superglue 漏洞，用戶可借此訪問其他 AWS Glue 用戶管理的信息。
AWS 官方宣稱 Glue 是一項無服務(wù)器的數(shù)據(jù)集成服務(wù)，旨在輕松發(fā)現(xiàn)、準備和組合那些用于分析、機器學(xué)習(xí)和應(yīng)用程序開發(fā)的數(shù)據(jù)。
事實上，亞馬遜服務(wù)的體量著實龐大，以至于 Glue 用戶能夠免費存儲多達百萬個對象。
Orca 指出 —— 我們能夠識別 AWS Glue 中的一項功能，它可用于獲取 AWS 官方服務(wù)賬戶中的某個角色的憑證，從而賦予了對內(nèi)部服務(wù) API 的完全訪問權(quán)限。
結(jié)合內(nèi)部錯誤配置和 Glue 內(nèi)部訪問 API，我們得以將帳戶內(nèi)的權(quán)限進一步提升至不受限的水平，包括以完全的管理權(quán)限訪問某個區(qū)域的所有資源。
在受 Glue 服務(wù)信任的 AWS 客戶賬戶中，至少都有一個類似角色的賬戶。
得逞后，攻擊者能夠查詢和修改區(qū)域內(nèi)的相關(guān)資源，包括但不限于 Glue 作業(yè)、開發(fā)端點、工作流、爬蟲、觸發(fā)器等元數(shù)據(jù)。
Orca 證實 —— 其已確認通過該漏洞控制眾多賬戶、以訪問其他 AWS Glue 用戶管理的信息的能力。
慶幸的是，漏洞披露不久后，亞馬遜在數(shù)小時內(nèi)就做出了回應(yīng)，并于第二日實施了部分緩解，直到數(shù)日后徹底封堵了相關(guān)問題。
第二個漏洞影響到了 AWS CloudFormation，通過將基礎(chǔ)設(shè)施視作代碼， 用戶可對第一和第三方資源開展建模、預(yù)置和管理。
這種“基礎(chǔ)設(shè)施即代碼”的范式，已于近年來愈加受到客戶的青睞。在遷移至云端的時候，其配置與維護的便利性也相當(dāng)出眾。
然而被稱作BreakingFormation的第二個 Bug，卻可被用于泄露在易受攻擊的服務(wù)器上發(fā)現(xiàn)的機密文件。
此外服務(wù)器端請求（SSRF）易受未經(jīng)授權(quán)披露內(nèi)部 AWS 基礎(chǔ)設(shè)施服務(wù)憑證的影響 —— 慶幸的是，該漏洞在向 AWS 披露六天內(nèi)完成了徹底修復(fù)。
最后，Bleeping Computer 分享了 AWS 副總裁 Colm MacCárthaigh 在 Twitter 上披露的與 BreakingFormation 漏洞有關(guān)的更多細節(jié)，且一開始就承認了 Orca 能夠獲得對所有 AWS 賬戶資源的訪問權(quán)限的說法。
然后 Orca 首席技術(shù)官 Yoav Alon 回應(yīng)稱 CloudFormation 的暴露范圍，并不像最初預(yù)期的那樣廣泛。
我們立即向 AWS 通報了該問題，后者迅速采取了行動來解決這個問題。
AWS 安全團隊在不到 25 小時內(nèi)編寫了首個修復(fù)程序，并于 6 日內(nèi)落實到了所有 AWS 區(qū)域。
Orca 安全研究人員幫助測試了修復(fù)補丁，以確保妥善解決相關(guān)問題，且我們能夠驗證其不會再遭到利用。
【來源：希恩貝塔】
