CVE-2024-37293

AWS Deployment Framework (ADF), bir AWS Organization içindeki birden fazla AWS hesabı ve bölgesi genelinde kaynakları yönetmek ve dağıtmak için kullanılan bir çerçevedir. ADF; geleneksel bir CI/CD kurulumuna kıyasla ağır iş yükünü ve yönetimi hafifletmek için AWS CodePipeline, AWS CodeBuild ve AWS CodeCommit gibi hizmetlerden yararlanırken, AWS Organizations içinde tanımlanan yapı aracılığıyla uygulamaların veya kaynakların aşamalı, paralel, çok hesaplı ve bölgeler arası dağıtımına olanak tanır. ADF, çok hesaplı bölgeler arası dağıtımları kolaylaştırmak amacıyla ADF'nin bootstrap stack'lerini dağıtmaktan sorumlu bir bootstrap süreci içerir. ADF bootstrap süreci, bu görevi gerçekleştirmek için yüksek ayrıcalıklara dayanır. Bootstrap sürecinin iki versiyonu mevcuttur; AWS CodeBuild kullanan kod değişikliği odaklı bir pipeline ve AWS Lambda kullanan olay odaklı bir durum makinesi. Bir aktör, CodeBuild projesinin veya Lambda fonksiyonunun davranışını değiştirme izinlerine sahipse, yetkilerini yükseltebilir. Versiyon 4.0.0 öncesinde, bootstrap CodeBuild rolü, başka herhangi bir kısıtlama olmaksızın `sts:AssumeRole` işlemine erişim sağlar. Bu nedenle, çapraz hesap erişim rolü tarafından sağlanan yüksek ayrıcalıklarla AWS Organization içindeki herhangi bir AWS hesabında oturum açabilir. Varsayılan olarak, bu rol AWS Organizations tarafından oluşturulduğunda kısıtlanmaz ve AWS hesabındaki AWS kaynaklarına Yönetici düzeyinde erişim sağlar. Bu sorun için yamalar `aws-deployment-framework` versiyon 4.0.0'da yer almaktadır. Geçici bir önlem olarak, yönetim hesabında ADF tarafından oluşturulan rollere bir izin sınırı (permissions boundary) ekleyin. İzin sınırı tüm IAM ve STS işlemlerini reddetmelidir. Bu izin sınırı, ADF'yi yükseltene veya yeni bir hesap bootstrap işlemi yapana kadar yürürlükte kalmalıdır. İzin sınırı yürürlükteyken, hesap yönetimi ve hesapların bootstrap işlemleri roller oluşturamaz, güncelleyemez veya bu rollerde oturum açamaz. Bu durum yetki yükseltme riskini azaltır ancak aynı zamanda ADF'nin hesap oluşturma, yönetme ve bootstrap yapma yeteneğini devre dışı bırakır.