CVE-2024-37293

AWS Deployment Framework (ADF), bir AWS Organization daxilində çox sayda AWS hesabı və regionu üzrə resursları idarə etmək və yerləşdirmək üçün nəzərdə tutulmuş çərçivədir. ADF, ənənəvi CI/CD quruluşu ilə müqayisədə ağır iş yükünü və idarəetməni azaltmaq üçün AWS CodePipeline, AWS CodeBuild və AWS CodeCommit kimi xidmətlərdən istifadə edərək, AWS Organizations-da təyin edilmiş struktur vasitəsilə tətbiqlərin və ya resursların mərhələli, paralel, çoxhesablı və regionlararası yerləşdirilməsinə imkan verir. ADF, çoxhesablı regionlararası yerləşdirmələri asanlaşdırmaq üçün ADF-nin bootstrap steklərini yerləşdirməyə cavabdeh olan bootstrap prosesini ehtiva edir. ADF bootstrap prosesi bu tapşırığı yerinə yetirmək üçün yüksəldilmiş imtiyazlardan istifadə edir. Bootstrap prosesinin iki versiyası mövcuddur: AWS CodeBuild istifadə edən kod dəyişikliyi əsaslı konveyer (pipeline) və AWS Lambda istifadə edən hadisə əsaslı vəziyyət maşını (state machine). Əgər bir aktor CodeBuild layihəsinin və ya Lambda funksiyasının davranışını dəyişmək səlahiyyətinə malikdirsə, o, öz imtiyazlarını yüksəldə bilər. Versiya 4.0.0-dan əvvəl, bootstrap CodeBuild rolu heç bir əlavə məhdudiyyət olmadan `sts:AssumeRole` əməliyyatına giriş imkanı verir. Buna görə də, o, çarpaz hesab girişi rolunun təmin etdiyi yüksəldilmiş imtiyazlarla AWS Organization-dakı hər hansı AWS Hesabına daxil ola bilir. Defolt olaraq, bu rol AWS Organizations tərəfindən yaradıldıqda məhdudlaşdırılmır və AWS Hesabındakı AWS resurslarına Administrator səviyyəsində giriş imkanı təmin edir. Bu problem üçün düzəlişlər `aws-deployment-framework` versiya 4.0.0-a daxil edilmişdir. Müvəqqəti tədbir olaraq, idarəetmə hesabında ADF tərəfindən yaradılan rollara icazə sərhədi (permissions boundary) əlavə edin. İcazə sərhədi bütün IAM və STS əməllərini rədd etməlidir. Bu icazə sərhədi siz ADF-ni yeniləyənə və ya yeni hesabı bootstrap edənə qədər qüvvədə qalmalıdır. İcazə sərhədi qüvvədə olduğu müddətdə, hesabların idarə edilməsi və bootstrapping prosesləri rolları yaratmaq, yeniləmək və ya həmin rolların imtiyazlarını götürmək (`assume`) imkanına malik olmayacaqlar. Bu, imtiyazların yüksəldilməsi riskini azaldır, lakin həmçinin ADF-nin hesabları yaratmaq, idarə etmək və bootstrap etmək qabiliyyətini deaktiv edir.