Cómo Explotar AWS (Aún No Tiene Solución)

AWS tiene un grave problema que permite que cualquiera aumente la factura de otros usuarios, y no ha sido solucionado.

Utiliza el cupón correspondiente en mis cursos para obtener un descuento:

Aprende a programar desde cero con Python: Cupón de descuento: RINGATECH-VIVE https://www.domestika.org/es/courses/5228-introduccion-a-la-programacion-con-python/ringatech

Aprende IA desde cero con Python: Cupón de descuento: RINGATECH-VIVO https://www.domestika.org/es/courses/5239-introduccion-a-la-ia-con-python/ringatech

Ligas relevantes:

• Publicación original: https://medium.com/@maciej.pocwierz/how-an-empty-s3-bucket-can-make-your-aws-bill-explode-934a383cb8b1
• Tweet de Jeff Barr (AWS): https://twitter.com/jeffbarr/status/1785386554372042890
• Publicación de Netlify en Hacker News: https://news.ycombinator.com/item?id=39520776

= = = CONTENIDO Por rellenar. Lo hice, YT lo borró y no quiero hacerlo de nuevo. = = =

Descripción larga para el algoritmo: AWS cuenta con un problema grave, ya que su servicio S3 (Simple Storage Service) de almacenamiento de archivos, permite que cualquiera (aunque no tenga una cuenta de Amazon) aumente la factura de otros usuarios. Esto es ya que todas las solicitudes que se hacen para colocar u obtener archivos de un bucket, aunque regrese un código 404 o 403, son pagados por el dueño del bucket. Si bien ya se conocía este problema, recientemente salió a la luz por un descubrimiento inesperado de un usuario que, al crear un bucket con un nombre genérico, en dos días acumuló una factura de $1,300 USD. Cientos de instalaciones de un proyecto de código abierto estaban enviando sus respaldos a su bucket, los cuales por defecto tenían un ejemplo de código para respaldo en S3 y utilizaron casualmente el nombre del bucket que el usuario eligió. Esto causó una fuerte fuga de seguridad, pero el problema principal es que estas solicitudes inesperadas hicieron cargos al dueño del bucket, cuando no tenía nada que ver. Esto demuestra que cualquier persona, por ejemplo, tu competencia o un exempleado molesto, puede aumentar tu factura sin que puedas hacer absolutamente nada, siempre y cuando conozca el nombre de uno de tus buckets. Y como los nombres de los buckets no se consideran "secretos" al igual que las contraseñas, rápidamente se vuelve un problema.

#aws #seguridad #ciberseguridad ... https://www.youtube.com/watch?v=70AduhLh65w