AWS ALBに脆弱性　1万5000以上のアプリケーションに影響

テクノロジーカテゴリーの変更を依頼記事元:

www.itmedia.co.jp

85 usersがブックマークコメント

AWS ALBに脆弱性　1万5000以上のアプリケーションに影響

Miggo Securityは2024年8月20日（現地時間）、AWSのアプリケーションロードバランサー（ALB）に重大なセ... Miggo Securityは2024年8月20日（現地時間）、AWSのアプリケーションロードバランサー（ALB）に重大なセキュリティ脆弱(ぜいじゃく）性「ALBeast」があると発表した。ALBeastはALBを認証機能として使用するアプリケーションにおいて認証バイパスを可能にするものだ。影響を受けるアプリケーションは1万5000以上におよぶ。 AWS ALBの認証機能に隠れた脆弱性「ALBeast」ただし、AWSは脆弱性とは認めず、「サービスは意図された通りに動いている」と述べた。その理由は何か。また、ALBeastが悪用されるとどのような危険性があるのだろうか。 ALBeastはALBの認証メカニズムに依存しているインターネットに公開されたアプリケーションにおいて、攻撃者が認証や承認のプロセスをバイパスできる構成ベースの欠陥とされている。悪用された場合は不正アクセスやデータ侵害、情

sfujiwara ALB外からのリクエストを受け取らなければそもそも問題はない、受け取る場合はJWTに追加されたsignerが想定のALB arnと一致しているか確認する必要がある、という理解をしたけどあってますかね

aws
security

2024/08/23 リンク

prograti 攻撃者が設置したALBでトークンに署名を行って、そのトークンでターゲットアプリの認証を通過する感じかな。対策はトークンの署名者が信頼できるALBであることを確認、信頼できるALBからのトラフィックのみを受信と

jun_cham 攻撃者がALBの管理者である必要があるように読めるんだけど…なにか解釈間違ってる…？ https://www.miggo.io/resources/albeast-security-advisory-alb-vulnerability 追記：なるほど別ALBで署名してアプリに直で送るのか