Amazon Cognito 不安全的权限
medium Web App Scanning 插件 ID 113374
语言：
简介
Amazon Cognito 不安全的权限描述
Amazon Cognito 是 Amazon Web Services (AWS) 的一款云产品，可为 Web 和移动应用程序提供用户身份验证、授权和管理服务。通过使用 Amazon Cognito，开发人员可快速向其应用程序添加用户管理功能、通过定义角色来控制和强制执行对这些用户的权限，或联合来自外部身份提供商的身份。使用身份池 ID 配置时，Amazon Cognito 允许未经身份验证的远程用户检索与要针对目标应用程序 AWS 帐户使用的 Cognito 角色相关的临时 AWS 凭据。根据附加到该角色的权限，攻击者可利用这些凭据来获取敏感信息的访问权限，或对目标 AWS 账户的其他云资产执行任意修改。
解决方案
检查 Cognito 角色使用的策略上的权限设置，确保其遵循权限最小化原则，且未根据应用程序需求授予过多权限。另见
https://aws.amazon.com/cognito/
https://blog.appsecco.com/exploiting-weak-configurations-in-amazon-cognito-in-aws-471ce761963
插件详情
严重性: Medium
ID: 113374
类型: remote
系列: Web Applications
发布时间: 2022/10/5
最近更新时间: 2022/10/5
扫描模板: basic, full, pci, scan
风险信息
VPR
风险因素: Low
分数: 1.4
CVSS v2
风险因素: Medium
基本分数: 5
矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N
CVSS 分数来源: Tenable
CVSS v3
风险因素: Medium
基本分数: 5.8
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N
CVSS 分数来源: Tenable
CVSS v4
风险因素: Medium
Base Score: 6.9
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
CVSS 分数来源: Tenable