CVE-2023-35165

AWS Cloud Development Kit (AWS CDK), bulud infrastrukturunu kodla təyin etmək və onu AWS CloudFormation vasitəsilə təmin etmək üçün açıq mənbəli proqram təminatı hazırlama çərçivəsidir. `aws-cdk-lib` 2.0.0-dan 2.80.0-a qədər və `@aws-cdk/aws-eks` 1.57.0-dan 1.202.0-a qədər olan paketlərdə, `eks.Cluster` və `eks.FargateCluster` konstruktları həddindən artıq geniş icazələrə malik etibar siyasəti (trust policy) olan iki rol — `CreationRole` və `default MastersRole` yaradır. Birincisi, `CreationRole` olaraq adlandırılan rol, klasteri yaratmaq və Kubernetes resurslarını (məsələn, `KubernetesManifest`, `HelmChart`, ...) onun üzərində yerləşdirmək üçün lambda handler-ləri tərəfindən istifadə olunur. CDK versiyası 1.62.0 və ya daha yüksək olan istifadəçilər (v2 istifadəçiləri daxil olmaqla) bundan təsirlənə bilər. İkincisi, `default MastersRole` olaraq adlandırılan rol yalnız `mastersRole` xüsusiyyəti təmin edilmədikdə yaradılır və klasterdə `kubectl` əmrlərini icra etmək üçün icazələrə malikdir. CDK versiyası 1.57.0 və ya daha yüksək olan istifadəçilər (v2 istifadəçiləri daxil olmaqla) bundan təsirlənə bilər. Problem `@aws-cdk/aws-eks` v1.202.0 və `aws-cdk-lib` v2.80.0 versiyalarında düzəldilmişdir. Bu versiyalar artıq hesabın kök prinsipalından (account root principal) istifadə etmir. Bunun əvəzinə, onlar etibar siyasətini buna ehtiyacı olan lambda handler-lərinin konkret rolları ilə məhdudlaşdırır. `CreationRole` üçün heç bir alternativ həll yolu yoxdur. `default MastersRole`-un yaradılmasının qarşısını almaq üçün rolu açıq şəkildə təmin etmək məqsədilə `mastersRole` xüsusiyyətindən istifadə edin.