🇰🇷 한글 설명
data.all이 배포된 고객 소유 AWS 계정에 접근 권한이 있는 data.all 관리 팀 구성원이 CloudWatch 로그 스캔을 통해 특정 작업을 수행할 수 있습니다. 이를 통해 고객 프로듀서 팀의 데이터와 상호작용하는 data.all 애플리케이션 로그에서 사용자 데이터를 추출할 수 있는 취약점입니다.
💡 쉬운 설명
관리자 권한을 가진 내부 직원이 로그 기록을 뒤져서 고객의 민감한 정보를 몰래 훔쳐볼 수 있는 문제입니다. 로그에 남은 기록을 통해 고객 데이터가 노출될 위험이 있습니다.
🇺🇸 원문 (English)
A data.all admin team member who has access to the customer-owned AWS Account where data.all is deployed may be able to extract user data from data.all application logs in data.all via CloudWatch log scanning for particular operations that interact with customer producer teams data.
📍 영향받는 시스템
data.all이 배포된 AWS 환경 및 CloudWatch 로그를 사용하는 시스템
⚔️ 공격 벡터
권한을 가진 관리자가 CloudWatch 로그를 스캔하여 민감한 데이터가 포함된 로그를 탐색함
🛡️ 대응 방법
애플리케이션 로그에 민감한 정보가 기록되지 않도록 로깅 정책을 수정하고, CloudWatch 로그에 대한 접근 권한을 최소화(Least Privilege)합니다.
🔧 검증 코드
명령어 실행 시 로그 스트림 목록이 출력되면 해당 로그 그룹에 대한 접근 권한 및 로그 기록 여부를 확인해야 합니다.
aws logs describe-log-streams --log-group-name '/aws/data.all/application' --query 'logStreams[*].logStreamName' --output text