InfoQ
·
两个缺失的字符：正则表达式缺陷如何使AWS GitHub仓库面临供应链风险
内容提要
AWS承认其部分开源GitHub仓库存在配置问题，导致严重漏洞CodeBreach，允许恶意代码入侵和仓库劫持。受影响的仓库包括AWS SDK for JavaScript v3。研究发现，正则表达式过滤器配置不当，使未认证攻击者可获取管理员权限。AWS在48小时内修复了该问题，并强调需加强CI/CD管道的安全性。
关键要点
-
AWS承认其部分开源GitHub仓库存在配置问题，导致严重漏洞CodeBreach。
-
该漏洞允许恶意代码入侵和仓库劫持，影响的仓库包括AWS SDK for JavaScript v3等。
-
研究发现，正则表达式过滤器配置不当，使未认证攻击者可获取管理员权限。
-
AWS在48小时内修复了该问题，并强调需加强CI/CD管道的安全性。
-
漏洞源于AWS CodeBuild CI管道处理构建触发器的细微缺陷。
-
缺失的正则表达式字符使得攻击者能够绕过限制，获取特权凭证。
-
AWS确认其他开源仓库没有类似的错误配置。
-
Wiz Security呼吁组织加强CI/CD管道的安全性，确保访问控制正确配置。
-
近期攻击事件凸显了不允许不受信任的贡献运行特权CI/CD管道的重要性。
-
CodeBreach漏洞于8月25日首次报告，AWS在8月27日进行了修复。
延伸解读
供应链安全的重要性
AWS的CodeBreach漏洞突显了供应链安全的脆弱性。随着开源项目的普及，攻击者利用配置错误进行攻击的风险增加。组织应重视CI/CD管道的安全性，确保所有访问控制都经过严格审查，以防止未授权访问。
正则表达式配置的风险
此次事件的根本原因在于正则表达式过滤器的配置缺陷。缺失的字符导致攻击者能够绕过安全限制，获取管理员权限。这提醒开发者在配置安全规则时，需仔细检查每一个细节，避免因小失大。
快速响应的重要性
AWS在发现漏洞后48小时内进行了修复，显示出快速响应的必要性。企业应建立有效的漏洞响应机制，确保在发现安全问题时能够迅速采取行动，降低潜在损失。
延伸问答
AWS的CodeBreach漏洞是什么？
CodeBreach是一个严重的安全漏洞，允许恶意代码入侵和仓库劫持，影响了部分AWS管理的开源GitHub仓库。
哪些AWS仓库受到CodeBreach漏洞的影响？
受影响的仓库包括AWS SDK for JavaScript v3、aws-lc、amazon-corretto-crypto-provider和awslabs/open-data-registry。
CodeBreach漏洞是如何被发现的？
Wiz Security的研究团队发现了正则表达式过滤器配置不当，导致未认证攻击者可以获取管理员权限。
AWS是如何应对CodeBreach漏洞的？
AWS在漏洞首次报告后48小时内修复了问题，并确认其他开源仓库没有类似错误配置。
CodeBreach漏洞的根本原因是什么？
漏洞源于AWS CodeBuild CI管道处理构建触发器时的细微缺陷，缺失的正则表达式字符使攻击者能够绕过限制。
Wiz Security对组织的建议是什么？
Wiz Security建议组织加强CI/CD管道的安全性，确保访问控制正确配置，避免不受信任的贡献运行特权CI/CD管道。
