Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9couvert plusieurs failles critiques dans les offres d’Amazon Web Services (AWS) qui, si elles \u00e9taient exploit\u00e9es avec succ\u00e8s, pourraient entra\u00eener de graves cons\u00e9quences.<\/p>\n
\u00ab L’impact de ces vuln\u00e9rabilit\u00e9s varie entre l’ex\u00e9cution de code \u00e0 distance (RCE), la prise de contr\u00f4le compl\u00e8te de l’utilisateur (qui peut fournir un acc\u00e8s administratif puissant), la manipulation de modules d’IA, l’exposition de donn\u00e9es sensibles, l’exfiltration de donn\u00e9es et le d\u00e9ni de service \u00bb, a d\u00e9clar\u00e9 la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 cloud Aqua dans un rapport d\u00e9taill\u00e9 partag\u00e9 avec The Hacker News.<\/p>\n
Apr\u00e8s une divulgation responsable en f\u00e9vrier 2024, Amazon a rem\u00e9di\u00e9 aux lacunes sur plusieurs mois, de mars \u00e0 juin. Les conclusions ont \u00e9t\u00e9 pr\u00e9sent\u00e9<\/a> au Black Hat USA 2024.<\/p>\n Au c\u0153ur du probl\u00e8me, surnomm\u00e9 Bucket Monopoly, se trouve un vecteur d’attaque appel\u00e9 Shadow Resource, qui, dans ce cas, fait r\u00e9f\u00e9rence \u00e0 la cr\u00e9ation automatique d’un bucket AWS S3 lors de l’utilisation de services tels que CloudFormation, Glue, EMR, SageMaker, ServiceCatalog et CodeStar.<\/p>\n Le nom du compartiment S3 cr\u00e9\u00e9 de cette mani\u00e8re est \u00e0 la fois unique et suit une convention de d\u00e9nomination pr\u00e9d\u00e9finie (\u00ab cf-templates-{Hash}-{Region} \u00bb). Un attaquant pourrait tirer parti de ce comportement pour configurer des compartiments dans des r\u00e9gions AWS inutilis\u00e9es et attendre qu’un client AWS l\u00e9gitime utilise l’un des services sensibles pour obtenir un acc\u00e8s secret au contenu du compartiment S3.<\/p>\n En fonction des autorisations accord\u00e9es au compartiment S3 contr\u00f4l\u00e9 par l’adversaire, l’approche pourrait \u00eatre utilis\u00e9e pour d\u00e9clencher une condition DoS, ou ex\u00e9cuter du code, manipuler ou voler des donn\u00e9es, et m\u00eame obtenir le contr\u00f4le total du compte de la victime \u00e0 l’insu de l’utilisateur.<\/p>\n Pour maximiser leurs chances de succ\u00e8s, les attaquants peuvent utiliser le principe du Bucket Monopoly pour cr\u00e9er \u00e0 l’avance des buckets non r\u00e9clam\u00e9s dans toutes les r\u00e9gions disponibles et y stocker du code malveillant. Lorsque l’organisation cibl\u00e9e active pour la premi\u00e8re fois l’un des services vuln\u00e9rables dans une nouvelle r\u00e9gion, le code malveillant est ex\u00e9cut\u00e9 \u00e0 son insu, ce qui peut entra\u00eener la cr\u00e9ation d’un utilisateur administrateur pouvant accorder le contr\u00f4le aux attaquants.<\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Des-experts-decouvrent-de-graves-failles-dans-AWS-conduisant-a.png\")
<\/a><\/center><\/div>\n