检测

Amazon Cognito 用户枚举

medium Web App Scanning 插件 ID 113371

语言：

简介

Amazon Cognito 用户枚举

描述

Amazon Cognito 是 Amazon Web Services (AWS) 的一款云产品，可为 Web 和移动应用程序提供用户身份验证、授权和管理服务。通过使用 Amazon Cognito，开发人员可快速向其应用程序添加用户管理功能、通过定义角色来控制和强制执行对这些用户的权限，或联合来自外部身份提供商的身份。在某些情况下，Amazon Cognito 允许未经身份验证的攻击者通过滥用登录和注册功能来推断目标应用程序中是否存在帐户。

解决方案

通过在应用程序使用的 Cognito 用户池上启用 `Prevent user existence errors` 高级安全选项，可缓解登录用户枚举。Amazon 当前未提供针对注册功能的缓解方法，这可通过添加一个 AWS lambda 在注册阶段向 Amazon Cognito 处理注册流程来缓解。

另见

https://aws.amazon.com/cognito/

https://docs.aws.amazon.com/cognito/latest/developerguide/cognito-user-pool-managing-errors.html

https://github.com/aws-amplify/amplify-js/issues/1183

https://github.com/aws-amplify/amplify-js/issues/6238

插件详情

严重性: Medium

ID: 113371

类型: remote

发布时间: 2022/10/5

最近更新时间: 2023/3/8

扫描模板: basic, full, pci, scan

风险信息

VPR

风险因素: Low

分数: 2.9

CVSS v2

风险因素: Medium

基本分数: 5

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N

CVSS 分数来源: Tenable

CVSS v3

风险因素: Medium

基本分数: 5.3

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

CVSS 分数来源: Tenable

参考资料信息