Amazon Web Services (AWS) a r\u00e9solu une vuln\u00e9rabilit\u00e9 inter-locataires dans sa plate-forme qui pourrait \u00eatre militaris\u00e9e par un attaquant pour obtenir un acc\u00e8s non autoris\u00e9 aux ressources.<\/p>\n
Le probl\u00e8me porte sur une probl\u00e8me d’adjoint confus<\/a>un type d’\u00e9l\u00e9vation de privil\u00e8ges o\u00f9 un programme qui n’a pas l’autorisation d’effectuer une action peut contraindre une entit\u00e9 plus privil\u00e9gi\u00e9e \u00e0 effectuer l’action.<\/p>\n La lacune a \u00e9t\u00e9 signal\u00e9e par Datadog \u00e0 AWS le 1er septembre 2022, \u00e0 la suite de quoi un correctif a \u00e9t\u00e9 envoy\u00e9 le 6 septembre.<\/p>\n “Cette attaque abuse du service AppSync pour supposer [identity and access management] les r\u00f4les<\/a> dans d’autres comptes AWS, ce qui permet \u00e0 un attaquant de pivoter vers une organisation victime et d’acc\u00e9der aux ressources de ces comptes \u00bb, Nick Frichette, chercheur chez Datadog a dit<\/a> dans un rapport publi\u00e9 la semaine derni\u00e8re.<\/p>\n Dans une divulgation coordonn\u00e9e, Amazon a dit<\/a> qu’aucun client n’a \u00e9t\u00e9 affect\u00e9 par la vuln\u00e9rabilit\u00e9 et qu’aucune action client n’est requise.<\/p>\n Il l’a d\u00e9crit comme un “probl\u00e8me d’analyse sensible \u00e0 la casse dans AWS AppSync, qui pourrait potentiellement \u00eatre utilis\u00e9 pour contourner les validations d’utilisation des r\u00f4les entre comptes du service et prendre des mesures en tant que service sur les comptes clients”.<\/p>\n AWS AppSync des offres<\/a> d\u00e9veloppeurs d’API GraphQL pour r\u00e9cup\u00e9rer ou modifier des donn\u00e9es \u00e0 partir de plusieurs sources de donn\u00e9es, ainsi que pour synchroniser automatiquement les donn\u00e9es entre les applications mobiles et Web et le cloud.<\/p>\n Le service peut \u00e9galement \u00eatre utilis\u00e9 pour s’int\u00e9grer \u00e0 d’autres services AWS via des r\u00f4les sp\u00e9cifiques con\u00e7us pour effectuer les appels d’API n\u00e9cessaires avec les autorisations IAM requises.<\/p>\n Bien qu’AWS ait mis en place des protections pour emp\u00eacher AppSync d’assumer des r\u00f4les arbitraires en validant l’Amazon Resource Name (ARN) du r\u00f4le, le probl\u00e8me vient du fait que la v\u00e9rification pourrait \u00eatre trivialement contourn\u00e9e en passant le “serviceRoleArn<\/a>” param\u00e8tre en minuscule.<\/p>\n Ce comportement pourrait ensuite \u00eatre exploit\u00e9 pour fournir l’identifiant d’un r\u00f4le dans un autre compte AWS.<\/p>\n \u00ab Cette vuln\u00e9rabilit\u00e9 dans AWS AppSync a permis aux attaquants de franchir les limites des comptes et d’ex\u00e9cuter des appels d’API AWS dans les comptes des victimes via des r\u00f4les IAM qui faisaient confiance au service AppSync \u00bb, a d\u00e9clar\u00e9 Frichette.<\/p>\n “En utilisant cette m\u00e9thode, les attaquants pourraient violer les organisations qui utilisaient AppSync et acc\u00e9der aux ressources associ\u00e9es \u00e0 ces r\u00f4les.”<\/p>\n <\/p>\n<\/div>\n![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/Des-chercheurs-detaillent-la-vulnerabilite-inter-locataire-dAppSync-dans-Amazon-Web.jpg\")
<\/a><\/center><\/div>\n![\"\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/11\/1669640971_342_Des-chercheurs-detaillent-la-vulnerabilite-inter-locataire-dAppSync-dans-Amazon-Web.png\"\/)
<\/div>\n