セキュリティ · 影響度：大ファンスコア 68 · ティア A
Cognitoの自己サインアップが有効だと、誰でもAWSの一時認証情報を取得できる：AI攻撃ツールARTEXの事例と確認したい設定3点
DevelopersIO · 執筆：西村祐二 ·
要点
- Datadogは、攻撃エージェント「ARTEX」が公開されたCognitoユーザープールに自己サインアップし、IDプールの一時認証情報でAWSを探索した事例を報告した
- 自己サインアップが有効であれば第三者でもアカウントを作成でき、認証済みロールの権限次第でAWS資源に到達できる
- 記事では成立する条件と、自分のユーザープールおよび認証済みロールを確かめる方法を3点に整理している
なぜ重要か
自己サインアップを有効にしたままIDプールの認証済みロールに広い権限を与えていると、第三者がAWS資源を探索できる可能性がある。開発者は設定を見直す必要がある。
影響を受ける人
- Amazon Cognitoで自己サインアップを有効にしている開発者
- Cognito IDプールの認証済みロールに権限を付与しているチーム
取るべき対応
- 自分のCognitoユーザープールで自己サインアップが有効かどうかを確認する
- IDプールの認証済みロールに付与した権限が必要最小限かを確認する
Datadog は、攻撃エージェント ARTEX が公開された Cognito ユーザープールに自己サインアップし、ID プールの一時認証情報で AWS を探索した様子を報告しました。成立する理由と、自分のユーザープールと認証済みロールの確かめ方を整理します。