AWSにデータ流出や乗っ取り引き起こす脆弱性、セキュリティベンダーが指摘
マイナビニュース / 2024年8月15日 10時28分
Aqua Securityはこのほど、「Bucket Monopoly: Breaching AWS Accounts Through Shadow Resources」において、Amazon Web Services (AWS)の6つのサービスに影響を及ぼす可能性がある重大な脆弱性について伝えた。この脆弱性が悪用された場合、リモートコード実行(RCE: Remote Code Execution)、ユーザー乗っ取り、機密データの流出、サービス運用妨害(DoS: Denial of Service)など深刻な影響を受ける可能性がある。
○影響を受けるAWSサービス
発見されている脆弱性の影響を受ける可能性があるとされるAWSのサービスは次のとおり。
CloudFormation
Glue
EMR
SageMaker
ServiceCatalog
CodeStar
○シャドーリソースと呼ばれる攻撃ベクトル
発見された脆弱性では、シャドーリソースと呼ばれる攻撃ベクトルが利用されており、特にS3バケットの「バケットモノポリー」と呼ばれる手法が問題視されている。この手法により攻撃者が被害者のアカウントにシャドーリソースを作成し、管理アクセスを取得することが可能になるとされている。
具体的にはCloudFormationなどのサービスで自動生成されるS3バケットが他のリージョンでも同じ命名規則で生成できることを悪用し、攻撃者が同じバケット名を予測してバケットを作成することで被害者のデータにアクセスできるようになる。
発見された脆弱性はAWSに報告されており、迅速に修正されている。しかしながら、Aqua Securityはこの種の攻撃は他のサービス、プロダクト、オープンソースプロジェクトなどにも存在する可能性があると指摘している。AWSユーザーは常に最新のセキュリティ対策を講じるとともにシャドーリソースに関連するリスクを理解し、適切な緩和策を講じることが推奨されている。
(後藤大地)
外部リンク
この記事に関連するニュース
-
Outlookに脆弱性、フィッシング対策機能がCSSで回避される恐れ
マイナビニュース / 2024年8月9日 7時31分
-
Microsoftのレピュテーション保護に弱点、保護を保護する必要あり
マイナビニュース / 2024年8月7日 12時21分
-
Webカメラ(AVTECH)に重要な脆弱性、確認と緩和策の実施を
マイナビニュース / 2024年8月5日 11時54分
-
今押さえておきたいサイバーセキュリティ用語 第10回 DDoS攻撃とは?巧妙化する脅威とその対策
マイナビニュース / 2024年7月26日 7時0分
-
チェック・ポイント・リサーチ、2024年5月に最も活発だったマルウェアを発表 LockBit3の衰退によって、活発なランサムウェアグループ「RansomHub」が首位に
PR TIMES / 2024年7月19日 11時10分
ランキング
-
1シロクマにしかみえない犬が話題 「ガチでシロクマ」「シロクマすぎる」の声
おたくま経済新聞 / 2024年8月13日 9時42分
-
2AWSにデータ流出や乗っ取り引き起こす脆弱性、セキュリティベンダーが指摘
マイナビニュース / 2024年8月15日 10時28分
-
3「空撮ってたら死ぬかと思った」 落雷の瞬間を捉えた衝撃映像に戦慄 「心臓に悪いです」「やばすぎる……」
ねとらぼ / 2024年8月14日 7時30分
-
4桃の皮をするっと剥く方法が「気持ちいい!」 老舗の洋菓子店おすすめの方法を試したら「本当に綺麗に剥けた」
ねとらぼ / 2024年8月14日 7時45分
-
5死の罠だらけのコースを爆走するSF徒競走『DEATHSPRINT 66』先行プレイレポ!選手が次々ミンチになる倫理崩壊世界
Game*Spark / 2024年8月15日 12時5分
記事ミッション中・・・
記事にリアクションする
![](/pc/img/mission/mission_close_icon.png)
記事ミッション中・・・
記事にリアクションする
![](/pc/img/mission/point-loading.png)
エラーが発生しました
ページを再読み込みして
ください
![](/pc/img/mission/mission_close_icon.png)