Erstes Veröffentlichungsdatum: 13.01.2022 13:00 PST
Ein Sicherheitsforscher meldete kürzlich ein Problem, das es ihm ermöglichte, als AWS-Glue-Service Maßnahmen zu ergreifen. Mithilfe einer AWS-Glue-Funktion erhielten die Forscher Anmeldeinformationen, die für den Service selbst spezifisch sind, und eine AWS-interne Fehlkonfiguration ermöglichte es den Forschern, diese Anmeldeinformationen als AWS-Glue-Service zu verwenden. Es gibt keine Möglichkeit, dass dies dazu benutzt wurde, um Kunden zu beeinflussen, die den AWS-Glue-Service nicht benutzen.
Vonseiten der Kunden besteht kein Handlungsbedarf.
AWS hat dieses Problem sofort behoben, sobald es gemeldet wurde. Die Analyse der Protokolle, die bis zum Launch des Services zurückreichen, hat ergeben, dass die einzige Aktivität, die mit diesem Problem in Verbindung steht, zwischen den Konten des Forschers stattgefunden hat. Es waren keine anderen Kundenkonten betroffen. Alle von AWS Glue in einem Kundenkonto durchgeführten Aktionen werden in CloudTrail-Datensätzen protokolliert, die von den Kunden kontrolliert und eingesehen werden können.
Wir möchten uns bei Orca Security für die Meldung dieses Problems bedanken.
Bei Fragen zur Sicherheit oder diesbezüglichen Bedenken schreiben Sie uns an: aws-security@amazon.com.