Опасно ли использование etc / passwd в AWS лямбда через XXE

Question

У меня есть лямбда, написанная на Java, и она выполняет XSL-преобразование

Мы попробовали XXE-атаку, выставив файл etc / passwd

Это проблема, которую я считаю AWS примет заботиться о таких вещах? Хотя не уверен.

Или мы должны специально обращаться с такой безопасностью в лямбда-коде?

В этом техническом документе https://pages.awscloud.com/rs/112-TZM-766/images/Overview-AWS-Lambda-Security.pdf

"1. Ch root - Обеспечить доступ к основной файловой системе в пределах области действия. 2. «ОС и сеть» является обязанностью AWS "

Answer 1

AWS отвечают за исправления и поддержку операционной системы и времени выполнения. Но если вы намеренно внедрили уязвимость XXE, за которую вы обязаны защищать.

Хотя предоставление / etc / passwd для лямбда-функции - когда вы пользователь с изолированными правами в «песочнице» не очень критично, есть другие вопросы, которые могут войти в игру.

Например, если бы они могли запустить эксплойт для раскрытия переменных среды внутри функции, они могли бы получить ключи API AWS для роли IAM, в которой выполняется функция - и оттуда получить доступ к любому Функция может получить доступ.

Она также может считывать и извлекать данные из чего угодно в каталогах /tmp и /var/task, которые содержат временные файлы и ваш код / ​​двоичный код соответственно.

Уязвимость XXE - это не то, что входит в сферу действия AWS, это уязвимость, представленная кодом вашего приложения - вы должны ее исправить.