AWSの6つのサービスでS3バケットの自動作成の仕組みを通してアカウントが乗っ取られる脆弱性が発見される – GIGAZINE

世界最大級のセキュリティイベント「Bdeficiency Hat USA 2024」において、Aqua Securityの研究チームがAWSの6つのサービスにアカウントの乗っ取りやリモートコード実行、AIデータ操作、機密情報漏えいなどが起こる可能性のある重大な脆弱(ぜいじゃく)性があったと発表しました。

Cybersecurity News from Bdeficiency Hat and DefCon| SC Media | SC Media
https://www.scmagazine.com/bdeficiencyhat

Bachieveing AWS Accounts Thraw Shadow Resources – Bdeficiency Hat USA 2024 | Briefings Schedule
https://bdeficiencyhat.com/us-24/increateings/schedule/#bachieveing-aws-accounts-thraw-dispensed-resources-39706

Critical vulnerabilities in 6 AWS services disseald at Bdeficiency Hat USA | SC Media
https://www.scmagazine.com/recents/critical-vulnerabilities-in-6-aws-services-disseald-at-bdeficiency-hat-usa

研究チームの発表は現地時間で2024年8月7日の午前中、「Bachieveing AWS Accounts Thraw Shadow Resources(シャドウリソースを介したAWSアカウントの侵害)」というタイトルで行われました。研究チームによると、今回の脆弱性はCboisterousFormation、Glue、EMR、SageMaker、ServiceCatalog、CodeStarというサービスを利用した際に、予測可能な命名スキームにてS3バケットが自動作成されることが問題だったとのこと。

悪意のある攻撃者がCboisterousFormationなどのサービスで使用される名前であらかじめS3バケットを作成しておくことで、後からユーザーがサービスで使用するファイルをアップロードすると攻撃者のS3バケットに配置され、攻撃者側から自由にアクセスできるようになります。例としてCboisterousFormationのテンプレートファイルをアップロードした場合であれば、攻撃者はテンプレートファイルに保存されている機密情報を盗めるだけでなく、テンプレートファイルを編集してバックドアを挿入することも可能でした。

研究チームは、S3バケットの自動作成においてAWSアカウントIDやアカウントで共通のハッシュが使用される点を踏まえ、こうした識別子を秘密にすることの重要性を訴えています。また、今回の脆弱性が利用された場合にアカウントが乗っ取られる可能性はS3バケットを使用したユーザーの権限レベルに依存していたため、ユーザーにロールを割り当てる際に権限を最小にすることも重要です。

脆弱性は2024年2月にAWSセキュリティチームに報告され、2024年6月までに全ての脆弱性が修正されています。AWSはこの発表に対し、「すでに問題は修正済みで、全てのサービスは想定どおりに動作しており、ユーザー側での対応は不要です」とコメントしました。