⬇ Scarica il santino: ·
Beato ALBeast, la bestia del bilanciatore
Patrono dei bilanciatori di carico AWS, dei token firmati dal servizio sbagliato e delle configurazioni "funziona come previsto".
Vita
Il 20 agosto 2024 Miggo descrisse ALBeast, una debolezza nelle app che si affidano all'autenticazione dell'Application Load Balancer di AWS. Un attaccante poteva creare un proprio ALB, firmare un token a piacere e cambiarne l'emittente perché corrispondesse a quello della vittima: AWS lo firmava comunque, e l'app lo accettava. Miggo stimò oltre 15.000 applicazioni potenzialmente esposte.
Preghiera
O Beato ALBeast, che fai firmare ad AWS i token che scrivi tu, fa' che le nostre app controllino sempre chi ha firmato, e non solo che la firma ci sia. Amen.
Come si festeggia
Si festeggia verificando l'emittente e l'ARN del bilanciatore e accettando traffico solo dal proprio ALB.
Firma giusta, firmatario sbagliato.