Amazon VEWで任意コード実行の脆弱性、修正版あり
Amazon Virtual Engineering Workbench（VEW）の公開コンポーネントに、認証済みの利用者が任意のコードを実行できる脆弱性があります。VEWを構築している組織は、最新版から再デプロイしてください。
急ぎ度: 早めに
CVSS v3は8.8、v4は9.4で、全テナントのプロジェクトに被害が及ぶ恐れがあり、修正版がすでに公開されているためです。
関係があるか
awslabs/virtual-engineering-workbenchから自社のAWSアカウントにVEWをデプロイし、複数のプロジェクト（テナント）で使っている組織が対象です。プロジェクトの利用者に低い権限のアカウントを配っている環境ほど、影響が大きくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| awslabs/virtual-engineering-workbench（Amazon Virtual Engineering Workbench、公開コンポーネント） | コミットc146486cec41f5b04fae57e9ce1a7fb40e695615より前 | コミットc146486cec41f5b04fae57e9ce1a7fb40e695615以降の最新版 |
確かめ方
- 1VEWを自社のAWSアカウントにデプロイしているかを、構築を担当したチームに確認します。
- 2デプロイに使ったリポジトリのコミットが、修正を含むコミットより前かどうかを調べます。次のコマンドは、修正を含んでいれば終了コード0で終わります。
- 3リポジトリを手元に持っていない場合は、デプロイ時に使った版の記録（CI/CDの実行履歴など）を確認します。
何が起きたか
VEWの公開（パブリッシング）コンポーネントに、テンプレートエンジンの特殊な記述が無害化されないまま処理される脆弱性があります。認証済みの第三者が、公開処理を担うLambdaのIAMロールの権限で、任意のコードを実行できます。
そのロールの権限が及ぶ範囲は広く、すべてのテナントのプロジェクトにあるデータやリソースにアクセスされる恐れがあります。
問題のコードには、プロダクトのバージョン管理APIから送られるCloudFormationテンプレートの本文を通じて到達できます。分類はCWE-1336で、テンプレートインジェクションにあたります。修正は、最新版のVEWから再デプロイすることで適用します。
攻撃の流れ
-
1
認証済みで接続
VEWの利用者として認証を通った者が、バージョン管理APIに到達します。
-
2
細工した本文を送信
テンプレートエンジンの記述を含むCloudFormationテンプレートの本文を、APIに登録します。
-
3
公開処理でコード実行
公開用Lambdaがその記述を処理し、任意のコードが動きます。
-
4
IAMロールの権限を行使
ロールの権限で、全テナントのプロジェクトのデータやリソースに手が届きます。
どう悪用されるか
ネットワーク越しに仕掛けられ、複雑な条件や利用者の操作は要りません。必要なのは、バージョン管理APIを呼び出せる認証済みのアカウントだけです。管理者権限までは求められず、低い権限でも条件を満たします。
成功すると、公開用LambdaのIAMロールの権限でコードが動きます。機密性・完全性・可用性のいずれも高い影響が見込まれ、テナントの境界を越えて、全プロジェクトのデータとリソースが読み書きや停止の対象になりえます。CVSS v4で影響が連鎖する先のシステムにも高い評価が付いているのは、この点を反映したものでしょう。
今すぐやること
-
1
自社のデプロイ状況を確認する
VEWを自社のAWSアカウントで動かしているか、動かしているならどのコミットからデプロイしたかを洗い出します。修正を含むコミットより前なら対象です。
git merge-base --is-ancestor c146486cec41f5b04fae57e9ce1a7fb40e695615 HEAD && echo 修正を含む || echo 修正を含まない -
2
最新版から再デプロイする
awslabs/virtual-engineering-workbenchの最新版を取得し、修正版に更新して再デプロイします。ステージング環境があれば先に試し、本番へ反映します。
-
3
AWSのセキュリティ情報を確認する
AWSが出したセキュリティ情報で、対象範囲や追加の案内がないかを読み、自社の構成に当てはまる注意を拾います。
-
4
侵害の跡がないか調べる
公表されたばかりの脆弱性ですが、更新前に悪用されていた場合に備えます。CloudTrailなどで、バージョン管理APIの不審な登録と、公開用LambdaのIAMロールによる普段と違う操作がないかを見ます。
-
5
APIを呼べる利用者と、ロールの権限を見直す
バージョン管理APIを呼び出せるアカウントを必要な人に絞り、公開用Lambdaのロールが必要以上の権限を持っていないかを点検します。
すぐ更新できないとき
すぐに更新できない間は、バージョン管理APIを呼び出せるアカウントを信頼できる少人数に絞ります。あわせて、公開用Lambdaのロールの権限を最小限にします。いずれも一時的なつなぎで、修正の代わりにはなりません。
背景
VEWは、複数のプロジェクトが同じ基盤を共有するかたちで使うことを前提にしたAWS上のワークベンチです。プロダクトの定義にはCloudFormationテンプレートを使い、公開コンポーネントがそれを受け取って各プロジェクトに提供できる状態にします。この公開処理を担うLambdaのロールは、プロジェクトをまたいで操作できる強い権限を持たざるをえません。
テンプレートエンジンは、入力に含まれる記述を式として評価します。そのため、利用者が書いたテンプレートの本文が評価の前に無害化されていないと、実行の主導権を渡してしまいます。今回の脆弱性は、まさにこの経路で、複数のプロジェクトの境界が公開処理のロール一つに集約されていたことが被害の広さにつながっています。
よくある質問
Q.CVSS v3が8.8、v4が9.4と差があるのはなぜですか。
Q.再デプロイしたあと、IAMロールの権限は見直す必要がありますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| AWS | virtual-engineering-workbench |
c146486cec41f5b04fae57e9ce1a7fb40e695615 未満 |
c146486cec41f5b04fae57e9ce1a7fb40e695615 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Improper neutralization of special elements used in a template engine in the publishing component of Amazon Virtual Engineering Workbench (VEW) could allow a remote authenticated third party to run arbitrary code with the permissions of the publishing Lambda's IAM role. This could allow access to data and resources across all tenant projects. The code is reachable through a crafted CloudFormation template body containing template engine directives submitted through the product versioning API.
To remediate this issue, users should redeploy from the latest version of awslabs/virtual-engineering-workbench.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- AWS aws.amazon.com
- web github.com
- web aws.amazon.com
- web nvd.nist.gov
- web aws.amazon.com
- web github.com