Faute critique dans l'outil AWS : vulnérabilité d'escalade des privilèges
La société de sécurité Token Security a découvert une vulnérabilité critique dans l'outil Account Assessment d'AWS. Conçu pour auditer l'accès inter-comptes, ses instructions de déploiement ont involontairement encouragé les utilisateurs à déployer le rôle central dans des comptes moins sécurisés (comme le développement), créant des chemins de confiance dangereux des environnements non sécurisés vers des environnements hautement sensibles (comme la production). Cela a permis une escalade des privilèges, permettant potentiellement aux attaquants de contrôler l'ensemble de l'organisation AWS. AWS a corrigé le problème le 28 janvier 2025, en mettant à jour la documentation pour recommander le déploiement du rôle central dans un compte aussi sécurisé que le compte de gestion. Les organisations affectées doivent vérifier leurs déploiements et y remédier en conséquence.