AWS CICD-toolchain-for-serverless-applications gán sai quyền IAM, cho phép truy cập tài nguyên cùng tài khoản

Việc gán quyền không chính xác trong IAM policy của AWS CICD-toolchain-for-serverless-applications 1.0.7 through 1.0.10 cho phép người dùng từ xa đã xác thực có quyền push vào application source repository nâng cao đặc quyền và truy cập hoặc sửa đổi các tài nguyên nằm ngoài application stack trong cùng tài khoản AWS thông qua các application template được toolchain pipeline triển khai. Để khắc phục vấn đề này, người dùng nên nâng cấp các toolchain stack hiện có lên phiên bản 1.0.11 hoặc mới hơn.

• AWS CICD-toolchain-for-serverless-applications được xác nhận bị ảnh hưởng từ phiên bản 1.0.7 đến 1.0.10, bao gồm cả hai mốc.
• GitHub advisory mô tả phạm vi bị ảnh hưởng là < 1.0.11, trong khi bulletin của AWS nêu rõ phạm vi impacted là =1.0.7 và <=1.0.10. Do đó, mục này giữ phạm vi CNA đã nêu và không mở rộng kết luận sang các phiên bản thấp hơn 1.0.7.
• Phiên bản sửa lỗi được xác nhận là 1.0.11. Trạng thái của các nhánh song song hoặc phiên bản mới hơn chưa được xác minh độc lập trong hồ sơ này.

Thành phần bị ảnh hưởng là CloudFormation deployment role do toolchain tạo ra. Trước phiên bản 1.0.11, quyền của role này đối với IAM, AWS Secrets Manager và AWS Systems Manager (SSM) Parameter Store rộng hơn phạm vi tài nguyên của ứng dụng. Người dùng có quyền push vào repository mã nguồn được toolchain quản lý có thể commit một application template tham chiếu đến IAM identity, Secrets Manager secret hoặc SSM parameter bên ngoài application stack; khi pipeline triển khai template, role có thể tác động lên các tài nguyên đó trong cùng tài khoản AWS. Đây là đường khai thác từ xa qua mạng và yêu cầu người dùng đã xác thực có quyền push vào repository; hồ sơ không mô tả thêm tương tác của người dùng cuối. Bản ghi không liệt kê đầy đủ từng IAM action và resource pattern trong mọi stack, vì vậy blast radius đối với từng tài nguyên cụ thể phụ thuộc vào cấu hình triển khai. Bản sửa trong 1.0.11 đặt điều kiện permissions boundary cho các thao tác ghi IAM role-policy và giới hạn thao tác ghi Secrets Manager तथा SSM Parameter Store vào tài nguyên của chính ứng dụng.

• Khả năng tiếp cận: Từ xa qua pipeline CI/CD của toolchain.
• Điều kiện quyền: Kẻ tấn công phải là người dùng đã xác thực và có quyền push vào application source repository.
• Độ phức tạp và tương tác: Bản ghi mô tả attack complexity là thấp và không yêu cầu thêm user interaction.
• Trạng thái khai thác: Bằng chứng hiện có không xác lập việc lỗ hổng đã bị khai thác thực tế hoặc đã có public exploit.

Việc khai thác thành công có thể cho phép kẻ tấn công sử dụng deployment role để nâng cao đặc quyền và truy cập hoặc sửa đổi IAM identity, Secrets Manager secret, SSM parameter cùng các tài nguyên khác ngoài application stack trong cùng tài khoản AWS. Hậu quả kỹ thuật có thể bao gồm mất tính bí mật, toàn vẹn hoặc khả dụng của các tài nguyên mà role có thể tiếp cận. Phạm vi được mô tả là giới hạn trong tài khoản triển khai toolchain, không bao gồm tác động liên tài khoản hoặc liên khách hàng. Blast radius thực tế phụ thuộc vào policy đã triển khai và các tài nguyên có trong tài khoản.

Các tổ chức sử dụng stack bị ảnh hưởng có thể phải đối mặt với việc thay đổi trái phép IAM identity, secret hoặc parameter ngoài phạm vi ứng dụng, cùng nguy cơ lộ dữ liệu hoặc gián đoạn các tài nguyên trong cùng tài khoản AWS. Lỗ hổng làm suy yếu ranh giới giữa một serverless application stack và các tài nguyên khác trong tài khoản, khiến việc quản trị quyền và điều tra sự cố phức tạp hơn. Mức độ ảnh hưởng thực tế phụ thuộc vào quyền của deployment role và các tài nguyên tồn tại trong tài khoản. Bản ghi không xác định một vụ xâm nhập, nạn nhân cụ thể hoặc tác động liên tài khoản.

1. Nâng cấp các toolchain stack hiện có lên phiên bản 1.0.11.
2. Kiểm tra mọi fork hoặc mã phái sinh và áp dụng các thay đổi sửa lỗi tương ứng, sau đó triển khai lại stack.
3. Xác minh CloudFormation deployment role sau khi nâng cấp: thao tác ghi IAM role-policy phải chịu điều kiện permissions boundary, còn thao tác ghi Secrets Manager và SSM Parameter Store phải bị giới hạn vào tài nguyên của chính ứng dụng.
4. Rà soát quyền push của các repository được pipeline sử dụng và loại bỏ quyền không cần thiết. Đây là biện pháp giảm phơi nhiễm, không thay thế cho việc nâng cấp.
5. AWS nêu rõ không có workaround; không nên coi việc hạn chế quyền repository hoặc giám sát là biện pháp khắc phục hoàn chỉnh.

1. Kiểm kê các toolchain stack hiện có và xác định phiên bản triển khai của CICD-toolchain-for-serverless-applications, đặc biệt các stack thuộc dải 1.0.7 đến 1.0.10.
2. Kiểm tra CloudFormation deployment role thực tế trong từng tài khoản, gồm IAM policy, permissions boundary và phạm vi tài nguyên được phép thao tác đối với IAM, Secrets Manager và SSM Parameter Store.
3. Xác định các repository mã nguồn được nối với pipeline và rà soát danh sách người dùng có quyền push vào những repository đó.
4. Rà soát template và lịch sử triển khai của pipeline để tìm tham chiếu đến IAM identity, secret hoặc parameter nằm ngoài application stack.
5. Nếu có audit log phù hợp, kiểm tra các thao tác của deployment role lên tài nguyên ngoài stack trong thời gian các phiên bản bị ảnh hưởng được sử dụng. Không thấy log tương ứng không chứng minh rằng stack đã an toàn hoặc chưa từng bị tác động.