proto.lib

Confused Deputy qua Cross-Account Role

Khi bạn tạo một IAM role có trust policy chỉ định principal của một bên thứ ba (vendor SaaS) để họ AssumeRole vào tài khoản của bạn, nếu trust policy chỉ kiểm tra "principal thuộc account vendor X" mà không ràng buộc thêm, một khách hàng khác của cùng vendor đó có thể lừa vendor gọi AssumeRole thay họ để thao túng resource của BẠN — đây là bài toán confused deputy kinh điển.

SecurityNâng cao2026-08-21
Confused Deputy qua Cross-Account Role

Tags

#iam#aws#cross-account#confused-deputy#assume-role#external-id

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

SecurityTrung bình

Thứ tự đánh giá IAM Policy (deny-by-default)

Khi một lời gọi API được xác thực, evaluator gom identity policy, resource policy, permission boundary và guardrail cấp tổ chức (SCP) lại rồi áp logic deny-by-default: một EXPLICIT DENY ở bất kỳ tầng nào cũng thắng tuyệt đối, allow phải đến từ cả hai phía (identity và resource khi cross-account), còn boundary chỉ có thể thu hẹp chứ không cấp thêm quyền.

#iam#aws#policy-evaluation#deny-by-default
SecurityTrung bình

Rò rỉ dữ liệu qua Snapshot/AMI bị đặt Public

Một disk snapshot hoặc machine image bị đặt public hoặc share cho toàn bộ account (thường do thao tác nhầm khi chia sẻ nội bộ) cho phép bất kỳ ai liệt kê, tạo volume từ đó rồi mount để đọc secret, key, dữ liệu khách hàng còn sót lại trên đĩa.

#snapshot#ami#cloud-misconfig#data-exposure
SecurityCơ bản

Quét Bucket Public Misconfig (không cần exploit)

Object storage trở thành world-readable qua bucket policy sai, ACL public, website-hosting bật public hoặc presigned URL không hết hạn — không cần khai thác lỗ hổng nào; một scanner posture liên tục liệt kê bucket, thử truy cập với principal ẩn danh và báo cáo bucket nào trả lời được.

#s3#aws#bucket-policy#public-access