Эксперту удалось перехватить свыше 2 тыс. поддоменов пользователей CloudFront

В рамках исследования возможных уязвимостей в CDN-сервисе Amazon CloudFront экспертам компании MindPoint Group удалось перехватить более 2 тыс. поддоменов легитимных сайтов, в том числе принадлежащих компаниям Bloomberg, Reuters, Dow Jones, Гарвардскому университету, Австралийскому банку содружества и двум американским правительственным агентствам.

Как обнаружили специалисты, механизм маршрутизации Amazon CloudFront, связывающий домены и поддоменты сайтов с определенным сервером (AWS бакетом), содержит уязвимость , позволяющую злоумышленникам перенаправлять некорректно сконфигурированные поддомены на свой сервер.

Эксперт Мэтт Уэстфолл (Matt Westfall) разработал инструмент на Python, автоматически сканирующий и перехватывающий уязвимые поддоменты, перенаправляя их на созданную исследователем демо-страницу. С помощью данного скрипта Уэстфоллу удалось всего за несколько дней перехватить более 2 тыс. поддоменов. По его словам, перехваченные поддомены, особенно известных компаний, могут использоваться злоумышленниками для целевых фишинговых атак или распространения вредоносного ПО, при этом даже самые осторожные пользователи не заподозрят подвох.

Специалист уведомил Amazon о результатах исследования и вернул «украденные» поддомены во владение компании. Команда CloudFront признала наличие проблемы, однако не стала рассматривать ее как уязвимость в сервисе. Вместо этого Amazon начала отображать уведомление на панелях AWS CloudFront, когда пользователь удаляет запись CNAME из дистрибуции CloudFront, извещающее о необходимости синхронизации DNS-записей с дистрибуцией CloudFront.

CloudFront - web-сервис от Amazon, призванный ускорить доставку статического и динамического контента.