CodeBuild 配置缺陷令 AWS 控制台供应链面临风险
HackerNews 编译，转载请注明出处： AWS CodeBuild中的一处关键配置错误使得攻击者得以掌控核心的AWS GitHub代码库，其中包括支撑AWS控制台的JavaScript SDK。 Wiz Research将此问题命名为”CodeBreach”漏洞，它暴露了AWS管理的开源项目所使用的持续集成管道中的弱点。通过利用此漏洞，未经身份验证的攻击者本可将恶意代码注入受信任的代码库，从而开辟一条入侵AWS控制台以及可能每个依赖该控制台的AWS账户的路径。 该漏洞源于CodeBuild处理拉取请求触发器的方式。一个安全过滤器中的微小错误——仅缺少两个字符——导致不受信任的拉取请求能够运行拥有特权的构建任务。由此，攻击者可以访问存储在构建内存中的GitHub凭证，并将访问权限提升至完全控制代码库。 Wiz表示，最敏感的目标是AWS SDK for JavaScript，这是一个广泛使用的库，既支撑着客户应用，也支撑着AWS控制台本身。该公司估计，66%的云环境包含此SDK，这放大了供应链攻击的潜在影响。 微小正则表达式错误如何引发重大风险 暴露的代码库依赖一个ACTOR_ID过滤器来限制可触发构建的GitHub用户。然而，Wiz发现该过滤器是以非锚定的正则表达式实现的。这意味着，包含已批准ID作为子字符串的GitHub用户ID可以绕过此限制。 由于GitHub是按顺序分配数字用户ID的，Wiz研究人员得以预测新的ID何时会”数字超越”受信任维护者的ID。通过自动化创建GitHub应用，他们获取了能够绕过过滤器并触发构建的ID。 Wiz成功演示了对 aws/aws-sdk-js-v3 代码库的接管，通过窃取的凭证获得了管理员级别的访问权限。 同样的弱点存在于至少其他三个AWS代码库中，其中一个链接到某AWS员工的个人账户。 AWS的响应与缓解措施 Wiz于8月25日披露了此发现，AWS在48小时内解决了该问题。该公司锚定了受影响的正则表达式过滤器，撤回了暴露的凭证，并增加了防护措施以防止基于内存的凭证窃取。 AWS还引入了一个新的”拉取请求评论批准”构建门控，默认阻止不受信任的构建。 在一份声明中，该公司表示：”AWS确认没有任何客户环境的机密性或完整性受到影响”，并补充说没有发现恶意利用的证据。 Wiz建议CodeBuild用户采取以下几项防御措施： 阻止不受信任的拉取请求触发特权构建 使用具有最小权限的细粒度GitHub令牌 锚定Webhook过滤器的正则表达式模式 消息来源：infosecurity-magazine； 本文由 HackerNews.cc 翻译整理，封面来源于网络； 转载请注明“转自 HackerNews.cc”并附上原文
信息安全研究员：华硕内网密码在 GitHub 上泄露
讯 北京时间3月28日早间消息，据美国科技媒体TechCrunch报道，一名信息安全研究员两个月前向华硕发出警告称，有华硕员工在GitHub代码库中错误地发布了密码。这些密码可以被用于访问该公司的企业内网。 其中一个密码出现在一名员工分享的代码库中。通过该密码，研究员可以访问内部开发者和工程师使用的电子邮件帐号，从而与计算机的使用者分享夜间构建的应用、驱动和工具。有问题的代码库来自华硕的一名工程师，他将电子邮件帐号密码公开已有至少一年时间。目前，尽管GitHub帐号仍然存在，但这个代码库已被清理。 这位网名为SchizoDuckie的研究员表示：“这是个每天发布自动构建版本的邮箱。”邮箱中的邮件包含存储驱动和文件的具体内网路径。研究员也分享了多张截图以证实他的发现。 该研究员没有测试，通过这个账号具体能获得哪些信息，但警告称进入企业内网会非常容易。他表示：“你所需要的就是发送一封带附件的电子邮件给任何一名收件人，进行鱼叉式钓鱼攻击。” 通过华硕专用的信息安全邮箱地址，该研究员向华硕发出了密码泄露的警告。6天后，他无法再登录该邮箱，并认为问题已经解决。 不过他随后又发现，在GitHub上，至少还有两起华硕工程师泄露公司密码的事件。 华硕总部的一名软件架构师在GitHub页面上留下了用户名和密码。另一名数据工程师在代码中也泄露了密码。这位研究员表示：“许多公司并不知道，他们的程序员在GitHub上用代码做了什么。” 在媒体向华硕告知此事的一天后，包含密码的代码库被下线并清理。不过华硕发言人表示，该公司“无法证实”研究员在邮件中的说法是正确的。“华硕正在积极调查所有系统，消除我们服务器和支持软件的所有已知风险，并确保没有数据泄露。” （稿源：，稿件以及封面源自网络。）