تعمل Amazon Web Services على إصلاح عيب يمكن أن يمنح المهاجم إمكانية الوصول إلى بيانات المستخدمين الآخرين على خدمة تكامل البيانات المُدارة بواسطة Glue.
قامت Amazon Web Services بإصلاح عيبين يؤثران على AWS Glue و AWS CloudFormation.
قد يسمح الخطأ الموجود في AWS Glue للمهاجم باستخدام الخدمة لإنشاء موارد والوصول إلى بيانات عملاء AWS Glue الآخرين ، وفقًا لـ Orca Security.
يقول باحثو Orca إن ذلك كان بسبب خطأ داخلي في التكوين داخل AWS Glue ، والذي أكدت AWS اليوم أنه تم إصلاحه منذ ذلك الحين.
تم إطلاق Glue في عام 2017 ، وهي خدمة مُدارة لتكامل البيانات بدون خادم لتوصيل قواعد البيانات الكبيرة ، مما يسمح للمطورين باستخراج وتحويل وتحميل (ETL) لوظائف التعلم الآلي.
اكتشف باحثو Orca إمكانية استخدام ميزة Glue للحصول على بيانات الاعتماد لدور داخل حساب خدمة AWS الخاص لمنح وصول هجوم إلى واجهة برمجة التطبيقات الخاصة بالخدمة الداخلية (API).
باستخدام هذا الوصول مع التهيئة الداخلية الخاطئة ، يمكن للمهاجم تصعيد الامتيازات داخل حساب والحصول على امتيازات إدارية كاملة.
قال يانير تساريمي الباحث في شركة Orca : "لقد أكدنا أننا سنكون قادرين على الوصول إلى البيانات المملوكة لعملاء AWS Glue الآخرين" .
قالت AWS في بيان إن عملاء Glue لا يحتاجون إلى تحديث الأنظمة وأكدوا أن الخطأ لا يمكن أن يؤثر على عملاء AWS الذين لا يستخدمون Glue.
قالت AWS: "باستخدام ميزة AWS Glue ، حصل الباحثون على بيانات اعتماد خاصة بالخدمة نفسها ، وقد سمح خطأ داخلي في AWS للباحثين باستخدام بيانات الاعتماد هذه كخدمة AWS Glue " .
"لا توجد طريقة يمكن من خلالها استخدام هذا للتأثير على العملاء الذين لا يستخدمون خدمة AWS Glue."
بالإضافة إلى ذلك ، قالت AWS إنها دققت سجلات Glue التي تعود إلى إطلاقها في عام 2017 وأكدت أنه لم تتأثر بيانات العملاء بهذا الخلل منذ ذلك الحين.
"تحركت AWS على الفور لتصحيح هذه المشكلة عندما تم الإبلاغ عنها. تم إجراء تحليل للسجلات التي تعود إلى بدء تشغيل الخدمة وقررنا بشكل قاطع أن النشاط الوحيد المرتبط بهذه المشكلة كان بين الحسابات المملوكة للباحث" ، AWS قال.
"لم تتأثر أي حسابات عميل آخر. يتم تسجيل جميع الإجراءات التي اتخذتها AWS Glue في حساب العميل في سجلات CloudTrail التي يتحكم بها العملاء ويمكن رؤيتها."
اكتشف Orca خطأً ثانيًا في AWS سمح للمهاجمين بخرق خادم داخل CloudFormation بطريقة تتيح لهم العمل كخدمة بنية أساسية لـ AWS. يمكن لعملاء AWS استخدام CloudFormation لتوفير موارد السحابة وإدارتها.
حددت الشركة ثغرة أمنية في إدخال كيان خارجي (XXE) مما سمح لها بقراءة الملفات وتنفيذ طلبات الويب نيابة عن الخادم. وفقًا لـ Orca ، يمكن للمهاجم استخدام الخلل للحصول على "وصول مميز إلى أي مورد في AWS".
ووفقًا لـ Orca ، قامت AWS أيضًا بإصلاح هذا الخلل.