AWS flickt den Glue-Bug, der Kundendaten gefährdet hat

Forscher haben eine kritische Sicherheitslücke im AWS Glue-Service entdeckt, die es Angreifern ermöglichen könnte, auf sensible Daten einer großen Anzahl von Kunden zuzugreifen.

Der vom Orca Security Research Team als „Superglue“ bezeichnete Fehler wurde durch eine interne Fehlkonfiguration des Dienstes ermöglicht.

AWS Glue ist ein serverloser Datenintegrationsdienst, der es Kunden ermöglicht, Daten für maschinelles Lernen, Analysen und die Entwicklung von Anwendungen zu entdecken und zu kombinieren. Da er auf große Mengen potenziell sensibler Daten zugreifen kann, könnte er ein attraktives Ziel für Hacker sein.

„Während unserer Nachforschungen konnten wir eine Funktion in AWS Glue identifizieren, die ausgenutzt werden konnte, um Anmeldeinformationen für eine Rolle innerhalb des eigenen Kontos des AWS-Dienstes zu erhalten, wodurch wir vollen Zugriff auf die interne Dienst-API erhielten“, erklärte Orca Security.

„In Kombination mit einer internen Fehlkonfiguration in der internen Service-API von Glue waren wir in der Lage, die Privilegien innerhalb des Kontos so weit zu erweitern, dass wir uneingeschränkten Zugriff auf alle Ressourcen für den Service in der Region hatten, einschließlich voller administrativer Privilegien.“

Der Anbieter behauptete, dass er in der Lage war, Rollen in AWS-Kundenkonten zu übernehmen, die von Glue als vertrauenswürdig eingestuft werden, und AWS Glue-Service-bezogene Ressourcen in einer Region abzufragen und zu ändern. Dazu gehörten Glue-Jobs, Dev-Endpunkte, Workflows, Crawler und Trigger.

Das Forschungsteam war bemüht, darauf hinzuweisen, dass es für dieses Projekt nur seine eigenen Konten verwendet hat und dass dadurch keine AWS Glue-Kunden gefährdet wurden.

AWS arbeitete schnell mit dem Team zusammen, um das Problem zu beheben.

„Heute hat uns Orca Security, ein geschätzter AWS-Partner, dabei geholfen, eine Fehlkonfiguration zu erkennen und zu beheben, bevor sie sich auf Kunden auswirken konnte“, erklärte AWS-Chefingenieur Anthony Virtuoso.

„Wir schätzen ihr Talent und ihre Wachsamkeit sehr und möchten ihnen für die gemeinsame Leidenschaft danken, AWS-Kunden durch ihre Erkenntnisse zu schützen.“

Dasselbe Forschungsteam hat diese Woche eine zweite Schwachstelle in AWS aufgedeckt, die als „BreakingFormation“ bezeichnet wird.

Dieser Zero-Day-Bug, der inzwischen ebenfalls von AWS behoben wurde, hätte es Angreifern ermöglichen können, vertrauliche Dateien auf den betroffenen Service-Rechnern auszuspionieren und Anmeldedaten für interne AWS-Infrastrukturdienste abzugreifen.

Einige Teile dieses Artikels stammen aus:
www.infosecurity-magazine.com