Política de confiança excessivamente permissiva do Harmonix no AWS EKS
ID do boletim: AWS-2025-031
Escopo:
AWS
Tipo de conteúdo:
Informativo
Data de publicação: 15/12/2025 11:45 PST
Descrição:
O Harmonix na AWS é uma arquitetura de referência de código aberto e uma implementação de uma plataforma para desenvolvedores que amplia o projeto CNCF Backstage. Identificamos o CVE-2025-14503, em que uma política de confiança do IAM excessivamente permissiva na estrutura do Harmonix na AWS pode permitir que usuários autenticados aumentem os privilégios por meio da suposição de função. O código de amostra da função de provisionamento do ambiente do EKS está configurado para confiar na entidade principal raiz da conta, o que pode permitir que qualquer entidade principal da conta com permissões sts:AssumeRole assuma a função com privilégios administrativos.
Versões afetadas: v0.3.0 a v0.4.1
Resolução:
Esse problema foi resolvido no Harmonix na AWS versão 0.4.2. Recomendamos atualizar para a versão mais recente e garantir que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções.
Soluções alternativas:
Se você não puder atualizar imediatamente para a versão 0.4.2 ou posterior, recomendamos revisar e restringir as políticas de confiança do IAM em sua implantação do Harmonix na AWS, concentrando-se especialmente na função de provisionamento do ambiente do EKS para garantir que ela não confie na entidade principal raiz da conta. A função de provisionamento do código de amostra pode ser encontrada no console do IAM e terá o seguinte padrão de nomenclatura:
*-eks-*-provisioning-role
Os eventos do CloudTrail podem ser analisados e monitorados para nomes de eventos “AssumeRole”, nos quais o campo requestParameters.roleArn inclui o ARN do perfil de provisionamento
Referências:
Agradecimento:
Gostaríamos de agradecer ao pesquisador de segurança r00tdaddy por colaborar nessa questão por meio do processo coordenado de divulgação de vulnerabilidades.
Envie um e-mail para aws-security@amazon.com em caso de qualquer dúvida ou preocupação sobre segurança.