‘Les attaques de type ‘Monopole de seaux’ d’AWS pourraient permettre une prise de contrôle complète de compte’

Les vulnérabilités critiques du chapeau noir concernant au moins six services cloud d’Amazon Web Services auraient pu permettre à des attaquants d’exécuter du code à distance, de voler des données, voire de prendre le contrôle d’un compte utilisateur sans que celui-ci en soit informé, selon une étude présentée aujourd’hui à la conférence Black Hat. L’équipe Nautilus de Aqua Security a détaillé les vulnérabilités, qui ont depuis été corrigées par le géant des services cloud, lors d’une présentation intitulée: Violation de comptes AWS à travers des ressources fantômes. Mais tout d’abord, ils ont discuté avec The Register de la manière dont des criminels sophistiqués, tels que ceux soutenus par des États-nations, pourraient prédire les noms des buckets AWS S3, puis utiliser une nouvelle méthode qu’ils appellent « Monopole de bucket » pour essentiellement précharger du code malveillant dans un bucket et attendre que l’organisation cible l’exécute involontairement. Selon les chercheurs, cela aurait pu mener à des attaques « catastrophiques » au sein de n’importe quelle organisation dans le monde ayant déjà utilisé les six services cloud en question. « En fin de compte, toute vulnérabilité pouvant conduire à la création d’un utilisateur administrateur et à une prise de contrôle de facto du compte est risquée, et les conséquences pourraient être dévastatrices pour une organisation », a déclaré Assaf Morag, un analyste de données principal de l’équipe de recherche de Aqua Nautilus, à The Register.