A68/100
インシデント · 高
Cognitoの自己サインアップ有効時にAWS一時認証情報が取得される危険性
ティアA · 今日中にパッチ – 帰る前に対応
影響を受ける人： 自己サインアップ有効なCognitoユーザープールの利用者
ティアAの理由： 基幹インフラまたは人気ツール かつ 悪用確認済み
影響範囲
攻撃
被害
修正
人気ツール · 悪用確認済み · 認証不要のリモート攻撃 · シークレットの流出
取るべき対応
- 自分のCognitoユーザープールで自己サインアップが有効かどうかを確認する
- IDプールの認証済みロールに付与した権限が必要最小限かを確認する
要点
- Datadogは、攻撃エージェント「ARTEX」が公開されたCognitoユーザープールに自己サインアップし、IDプールの一時認証情報でAWSを探索した事例を報告した
- 自己サインアップが有効であれば第三者でもアカウントを作成でき、認証済みロールの権限次第でAWS資源に到達できる
- 記事では成立する条件と、自分のユーザープールおよび認証済みロールを確かめる方法を3点に整理している
なぜ重要か
自己サインアップを有効にしたままIDプールの認証済みロールに広い権限を与えていると、第三者がAWS資源を探索できる可能性がある。開発者は設定を見直す必要がある。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中5項目が「はい」
| はい | 開発者に影響 | AWS Cognitoは開発者や運用チームが認証基盤として使うクラウドサービスである |
| いいえ | 基幹インフラ | ほぼすべてのチームが運用する基幹ソフトウェアではなく、AWSの単一サービスである |
| はい | 人気ツール | AWS Cognitoは多くのチームが採用する一般的なクラウド認証プラットフォームである |
| はい | 悪用確認済み | DevelopersIO: Datadogの報告として、攻撃エージェントARTEXが実際にAWSを探索したと説明 |
| いいえ | 公開エクスプロイト | DevelopersIO: 詳細な攻撃手順や公開エクスプロイトについての記載はない |
| はい | 認証不要のリモート攻撃 | DevelopersIO: 誰でも自己サインアップでき、事前の認証情報なしにネットワーク経由で悪用されたと説明 |
| いいえ | 完全な乗っ取り | DevelopersIO: 一時認証情報の取得は述べられているが、管理者権限や完全な乗っ取りの記載はない |
| はい | シークレットの流出 | DevelopersIO: 攻撃エージェントがIDプールの一時認証情報を取得したと報告されている |
| いいえ | サプライチェーン | DevelopersIO: 正規パッケージや配布経路の侵害についての記載はない |
| いいえ | 修正なし | DevelopersIO: ベンダーの修正提供について記載がなく、利用者側の設定確認が中心として書かれている |
出典
Cognitoの自己サインアップが有効だと、誰でもAWSの一時認証情報を取得できる：AI攻撃ツールARTEXの事例と確認したい設定3点 ↗ DevelopersIO · 4時間前