AWS CDK 漏洞使黑客能够接管 AWS 账户

文章预览

Aquasec 的安全研究人员最近在 AWS Cloud Development Kit （CDK） 中发现了一个关键漏洞，该漏洞可能允许攻击者获得对目标 AWS 账户的完全管理访问权限。 该问题于 2024 年 6 月报告给 AWS，影响使用版本 v2.148.1 或更早版本的 CDK 用户。 该漏洞源于 AWS CDK 在 引导 过程中创建资源时使用的可预测命名规范。 默认情况下，CDK 会创建一个名称遵循如下格式 的 S3 存储桶。 cdk-hnb659fds-assets-{account-ID}-{Region} 如果用户在引导后删除了此存储桶，攻击者可以通过在自己的账户中创建一个同名存储桶来声明该存储桶。 当受害者运行 cdk deploy 时，他们的 CDK 实例将信任攻击者控制的存储桶，并向其写入 CloudFormation 模板。 然后，攻击者可以修改这些模板，注入恶意资源，例如他们可以代入的管理员角色。 AWS CDK 攻击链 由于受害者的 CloudFormation 服务默认使用管理权限部署资 ………………………………