AWS Security Hub dostał nową funkcję eksportu znaleźisk bezpośrednio do Amazon S3 w formacie CSV lub JSON (OCSF). Zespoły security'u mogą teraz bez budowania własnych pipelinów wyciągać dane z każdej strony wyników – od zagrożeń po podatności – i wysyłać je do bucketa S3, co znacznie ułatwia compliance reporting i audyty.
źródło: [aws/whats-new]
AWS Amplify API Category ma problem z autoryzacją w query resolverach, który pozwala uwierzytelnionym użytkownikom czytać rekordy innych osób przez spreparowane zapytania. Trzeba zaktualizować @aws-amplify/graphql-index-transformer do wersji 3.1.2+, @aws-amplify/graphql-api-construct do 1.21.4+ lub @aws-amplify/data-construct do 1.17.4+.
źródło: [aws/security-bulletin]
AWS Tools for PowerShell w wersji 5.0.305 i starszych ma problem z wyciekiem wrażliwych danych – hasła do AWS Management Console mogą trafić do logów i być odczytane przez lokalnych użytkowników. Jeśli używasz tej wersji, koniecznie zaktualizuj do 5.0.306 lub nowszej, żeby zabezpieczyć swoje konta.
źródło: [aws/security-bulletin]
AWS dodał endpoint metadanych do Lambda, dzięki któremu funkcje mogą odkryć swoją Availability Zone i kierować requesty do usług w tej samej AZ. To praktyczne rozwiązanie do redukcji opóźnień cross-AZ i kosztów transferu danych, szczególnie przydatne przy pracy z ElastiCache, RDS czy MemoryDB.
źródło: [aws/compute-blog]
Amazon Agent Plugins for AWS databases-on-aws ma lukę pozwalającą na zdalne wykonanie poleceń systemowych przez niedostateczną walidację inputów. Dotyczy wersji poniżej 1.7.1 – jeśli używasz tego pluginu, koniecznie zaktualizuj, bo atak wymaga interakcji agenta z crafted payloadem.
źródło: [aws/security-bulletin]
AWS CDK przed wersją 2.267.0 ma problem z obsługą plików w procesie bundlowania assetów, gdzie Dockerfile może wstrzyknąć symlinki do outputu bez podania ich jako input. Trzeba zaktualizować bibliotekę, jeśli używasz asset bundlingu z Docker.
źródło: [aws/security-bulletin]
AWS Toolkit for Visual Studio Code poniżej wersji 4.10.0 ma problem z bezpieczeństwem - cachuje tokeny dostępu CodeCatalyst z uprawnieniami czytelnym dla wszystkich. Lokalny użytkownik może przejąć token i uzyskać dostęp do sesji, dlatego trzeba pilnie zaktualizować rozszerzenie.
źródło: [aws/security-bulletin]