Almacenamiento público y metadatos de instancia

Un bucket o un contenedor abierto tiene dos permisos que importan. Poder leer objetos significa que quien conozca o adivine el nombre de uno lo descarga. Poder listar el contenido es peor: cualquiera ve qué hay, sin tener que adivinar nada. Una política con un principal comodín (cualquiera) y las dos acciones convierte el almacenamiento en un directorio público.

Que algo esté público no es siempre un hallazgo. Un sitio de folletos lo está a propósito. Lo que se reporta es lo que no debería, según lo que el propio cliente documentó.

La exportación de AWS trae tres buckets. Uno es público a propósito y está documentado. Otro tiene todo el bloqueo de acceso público activo. El tercero tiene el bloqueo apagado y una política con principal comodín sobre datos de clientes. Es el hallazgo: lo que se escribe en el informe es qué está expuesto, cuánto y qué datos contiene, no solo el nombre.

En Azure el acceso anónimo se decide en dos niveles. La cuenta tiene una propiedad que lo permite o lo prohíbe, y cada contenedor tiene su propio nivel. Si la cuenta lo prohíbe, ningún contenedor es anónimo aunque su nivel diga lo contrario; si lo permite, cada contenedor decide. Aquí la cuenta lo permite, y la lectura de los niveles dice cuál de los contenedores lo aprovecha sin justificación.

El servicio de metadatos de una instancia responde con datos de la propia máquina, entre ellos las credenciales temporales de su rol. En AWS tiene dos versiones: una acepta una petición simple y la otra exige un token de sesión. La configuración HttpTokens vale optional (acepta las dos) o required (solo la versión con token). Con optional, una aplicación que se deje engañar para pedir esa dirección puede entregar las credenciales del rol.

El extracto del proxy de una de las instancias muestra que su función de importar imágenes por URL hizo una petición a la dirección de metadatos y obtuvo respuesta. Cruza ese registro con las opciones de las instancias.

El arreglo del servicio de metadatos está en la configuración de la instancia: exigir el token (HttpTokens en required). Eso cierra la versión simple, que es la que un fallo de la aplicación puede aprovechar. El límite de saltos de la respuesta, que aquí vale 2 en web-01, se deja en 1 salvo que haya contenedores que lo necesiten. Y la aplicación, además, debe dejar de aceptar direcciones arbitrarias: es otro hallazgo, de otro equipo.