Amazon Web Services (AWS) ha resuelto una vulnerabilidad entre inquilinos en su plataforma que un atacante podr\u00eda utilizar como arma para obtener acceso no autorizado a los recursos.<\/p>\n
El asunto se relaciona con un problema del diputado confundido<\/a>un tipo de escalada de privilegios donde un programa que no tiene permiso para realizar una acci\u00f3n puede obligar a una entidad con m\u00e1s privilegios a realizar la acci\u00f3n.<\/p>\n Datadog inform\u00f3 la deficiencia a AWS el 1 de septiembre de 2022, luego de lo cual se envi\u00f3 un parche el 6 de septiembre.<\/p>\n “Este ataque abusa del servicio AppSync para asumir [identity and access management] papeles<\/a> en otras cuentas de AWS, lo que permite a un atacante pasar a la organizaci\u00f3n v\u00edctima y acceder a los recursos de esas cuentas”, dijo Nick Frichette, investigador de Datadog. dijo<\/a> en un informe publicado la semana pasada.<\/p>\n En una divulgaci\u00f3n coordinada, Amazon dijo<\/a> que ning\u00fan cliente se vio afectado por la vulnerabilidad y que no se requiere ninguna acci\u00f3n del cliente.<\/p>\n Lo describi\u00f3 como un “problema de an\u00e1lisis de may\u00fasculas y min\u00fasculas dentro de AWS AppSync, que podr\u00eda usarse para omitir las validaciones de uso de roles entre cuentas del servicio y tomar medidas como el servicio en todas las cuentas de los clientes”.<\/p>\n AWS AppSync ofertas<\/a> desarrolladores API GraphQL para recuperar o modificar datos de m\u00faltiples fuentes de datos, as\u00ed como sincronizar autom\u00e1ticamente datos entre aplicaciones m\u00f3viles y web y la nube.<\/p>\n El servicio tambi\u00e9n se puede utilizar para integrarse con otros servicios de AWS a trav\u00e9s de roles espec\u00edficos dise\u00f1ados para realizar las llamadas API necesarias con los permisos de IAM requeridos.<\/p>\n Si bien AWS cuenta con medidas de seguridad para evitar que AppSync asuma funciones arbitrarias mediante la validaci\u00f3n del nombre de recurso de Amazon (ARN) de la funci\u00f3n, el problema se deriva del hecho de que la verificaci\u00f3n podr\u00eda pasarse por alto al pasar el “serviceRoleArn<\/a>“par\u00e1metro en min\u00fasculas.<\/p>\n Luego, este comportamiento podr\u00eda explotarse para proporcionar el identificador de un rol en una cuenta de AWS diferente.<\/p>\n “Esta vulnerabilidad en AWS AppSync permiti\u00f3 a los atacantes cruzar los l\u00edmites de la cuenta y ejecutar llamadas a la API de AWS en las cuentas de las v\u00edctimas a trav\u00e9s de roles de IAM que confiaban en el servicio de AppSync”, dijo Frichette.<\/p>\n “Al usar este m\u00e9todo, los atacantes podr\u00edan violar las organizaciones que usaron AppSync y obtener acceso a los recursos asociados con esos roles”.<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2022\/11\/Los-investigadores-detallan-la-vulnerabilidad-entre-inquilinos-de-AppSync-en.jpg\")
<\/a><\/center><\/div>\n![\"\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2022\/11\/1669645719_774_Los-investigadores-detallan-la-vulnerabilidad-entre-inquilinos-de-AppSync-en.png\"\/)
<\/div>\n