Bartek Chojnacki

OpenSearch SQL Plugin ma poważną lukę w deserializacji Java, która pozwala uwierzytelnionym użytkownikom z podstawowymi uprawnieniami wykonać dowolny kod na serwerze przez manipulację parametrem cursor. Dotyczy to wersji 2.8-3.6 (open-source) i 2.9-3.5 (AWS Managed) – musisz pilnie zaktualizować do wersji 3.7, 2.19.6 lub wyższej.

AWS zdecydował się zintegrować Upwind, rozwiązanie konkurencyjne, z Security Hub Extended, bo klienci enterprise sami na to wskazywali. Artykuł wyjaśnia, dlaczego czasem warto postawić na najlepsze narzędzie zamiast własnego produktu i jak to zmienia podejście do bezpieczeństwa chmury.

Amazon udostępnił nowe instancje EC2 R9g i R9gd z procesorami AWS Graviton5, które oferują znacznie lepszą wydajność obliczeniową niż poprzednia generacja R8g. To świetna wiadomość dla tych, którzy zajmują się bazami danych, cache'ami w pamięci czy analityką real-time – dostaną tu solidny boost bez przechodzenia na droższe rozwiązania.

AWS udostępnił instancje EC2 C8gn napędzane procesorami Graviton4 w regionie Paryż, oferując 30% lepszą wydajność obliczeniową niż poprzednia generacja. Nowe maszyny obsługują aż 600 Gbps przepustowości sieciowej i są idealne do workloadów sieciowych, analityki danych oraz AI/ML inference.

W amazon-ssm-agent przed wersją 3.3.4515.0 odkryto lukę path traversal w pluginie aws:downloadContent, która pozwala uwierzytelnionym użytkownikom z uprawnieniami ssm:SendCommand na zapis plików poza docelowy katalog z uprawnieniami root. Wymaga to natychmiastowej aktualizacji agenta, szczególnie jeśli zarządzasz instancjami EC2 lub serwerami on-premises.

awsdac (diagram-as-code) w wersjach 0.10–0.23 ma lukę Zip Slip, która pozwala na zapis plików poza docelowy katalog cache'u przy przetwarzaniu złośliwego archiwum ZIP. Zagrożenie dotyczy głównie CI/CD, które przetwarzają definicje z niezaufanych źródeł – wymagana jest aktualizacja do wersji 0.24 lub nowszej, a w starszych wersjach należy unikać flagi `--allow-untrusted-definitions`.

AWS wprowadza Private Access, który pozwala dostać się do Management Console bez połączenia z publicznym internetem – game changer dla organizacji w branżach regulowanych. Cloud engineerowie mogą teraz izolować całą ścieżkę dostępu, od sieci korporacyjnej aż do konsoli, bez kompromisów w bezpieczeństwie.