AWS曝一键式漏洞，攻击者可接管Apache Airflow服务
内容提要
AWS修复了一个关键漏洞，该漏洞允许攻击者接管Amazon Apache Airflow (MWAA)托管的工作流程。漏洞名为FlowFixation，可能允许攻击者完全控制AWS服务上的客户账户。网络安全公司Tenable发现了这个漏洞，并建议用户更新补丁。该漏洞难以利用，但Tenable还发现了一个更严重的安全问题，可能在不久的将来造成损害。AWS已经修复了漏洞并为用户提供了更新。Apache Airflow (MWAA)是亚马逊提供的一个完全托管的服务，简化了在AWS上运行开源Apache Airflow以执行ETL作业和数据流水线的过程。
延伸解读
漏洞利用链与潜在影响
FlowFixation漏洞结合了MWAA网络管理面板的会话固定和AWS域名配置错误。攻击者可强制受害者使用已知会话，进而接管管理面板，执行读取连接字符串、添加配置、触发DAG等操作，甚至对底层实例进行远程代码攻击或横向移动。虽然利用复杂，但一旦成功，攻击者可能完全控制客户在AWS上的账户，危害极大。
云服务共享父域的安全风险
Tenable还揭示了一个更广泛的问题：共享父域和公共后缀列表（PSL）相关的同站点攻击。多个AWS服务共用“amazonaws.com”父域，攻击者可能对共享父域下的子域资产发起攻击。例如，用户创建的S3存储桶中的HTML页面可在子域上下文中运行客户端代码，进而影响共享父域。这种风险不仅限于AWS，Azure和Google Cloud等云服务若域名未列入PSL，也可能面临cookie tossing等攻击。
修复状态与用户应对建议
AWS已在2023年9月修复了该漏洞，并通知用户通过控制台、API或命令行界面进行更新。运行当前版本MWAA的客户不会受到影响。Tenable建议用户及时更新补丁，以防范潜在风险。尽管漏洞利用较为复杂，但鉴于其可能导致的严重后果，用户应保持警惕，确保系统处于最新状态。
Q&A
FlowFixation漏洞是什么？
FlowFixation漏洞允许攻击者接管Amazon Apache Airflow (MWAA)托管的工作流程，可能导致完全控制客户的AWS账户。
AWS是如何修复FlowFixation漏洞的？
AWS在2023年9月修复了FlowFixation漏洞，并建议用户通过控制台、API或命令行界面进行更新修复。
Tenable发现了哪些与FlowFixation漏洞相关的安全问题？
Tenable还发现了一个更严重的安全问题，涉及共享父域和公共后缀列表（PSL）相关的同站点攻击。
FlowFixation漏洞的利用难度如何？
虽然FlowFixation漏洞的利用较为复杂，但攻击者仍然可以通过强迫受害者使用已知会话来接管网络管理面板。
Apache Airflow (MWAA)的主要功能是什么？
Apache Airflow (MWAA)是亚马逊提供的全托管服务，简化了在AWS上运行开源Apache Airflow以执行ETL作业和数据流水线的过程。
用户如何防范FlowFixation漏洞的影响？
用户应及时更新补丁，确保运行当前版本的Amazon托管工作流Apache Airflow (MWAA)，以防范FlowFixation漏洞的影响。
