Policy di attendibilità eccessivamente permissiva in Harmonix su AWS EKS
ID Bollettino: AWS-2025-031
Ambito:
AWS
Tipo di contenuto:
informazioni
Data di pubblicazione: 15/12/2025 11:45 PST
Descrizione:
Harmonix su AWS è un’architettura di riferimento open source e l’implementazione di una piattaforma per sviluppatori che estende il progetto Backstage di CNCF. Abbiamo identificato la vulnerabilità CVE-2025-14503, dove una policy di attendibilità IAM eccessivamente permissiva nel framework Harmonix su AWS può consentire agli utenti autenticati di aumentare i privilegi tramite l’assunzione di ruoli. Il codice di esempio per il ruolo di provisioning dell’ambiente EKS è configurato in modo da considerare attendibile l’entità principale root dell’account, il che può consentire a qualsiasi entità principale dell’account con autorizzazioni sts:AssumeRole di assumere il ruolo con privilegi amministrativi.
Versioni interessate: da v0.3.0 a v0.4.1
Risoluzione:
questo problema è stato risolto nella versione 0.4.2 di Harmonix su AWS. Per incorporare le nuove correzioni, ti consigliamo di eseguire l’aggiornamento alla versione più recente e di assicurarti che siano state applicate le patch a qualsiasi codice derivato o di cui è stato eseguito il fork.
Soluzioni alternative:
se non ti è possibile eseguire immediatamente l’aggiornamento alla versione 0.4.2 o successiva, ti consigliamo di rivedere e limitare le policy di attendibilità IAM nella tua distribuzione di Harmonix su AWS, riservando particolare attenzione al ruolo di provisioning dell’ambiente EKS per assicurarti che non consideri attendibile l’entità principale root dell’account. Il ruolo di provisioning tratto dal codice di esempio si trova nella console IAM e presenterà il seguente modello di nome:
*-eks-*-provisioning-role
È possibile esaminare e monitorare gli eventi CloudTrail per individuare i nomi degli eventi “AssumeRole” in cui il campo requestParameters.roleArn include l’ARN del ruolo di provisioning.
Riferimenti:
Ringraziamenti:
desideriamo ringraziare il ricercatore di Security r00tdaddy per aver collaborato alla risoluzione di questo problema attraverso il processo coordinato di divulgazione delle vulnerabilità.
Per eventuali domande o dubbi sulla sicurezza, invia un’e-mail all’indirizzo aws-security@amazon.com.