Nouvelle faille AWS met en péril des dépôts GitHub : menace sur la chaîne d’approvisionnement

Une nouvelle vulnérabilité a été découverte dans la console AWS, menaçant de détourner des dépôts GitHub hébergés sur AWS. Cette faille, surnommée CodeBreach, aurait pu permettre à des attaquants de prendre le contrôle de référentiels clés, notamment le SDK JavaScript d’AWS. Heureusement, AWS a rapidement réagi suite à la divulgation de cette faille par les chercheurs de Wiz, mais le risque qu’elle représentait pour la chaîne d’approvisionnement reste préoccupant.

Les chercheurs ont souligné que cette vulnérabilité aurait pu entraîner une attaque massive sur la chaîne d’approvisionnement, comparable aux attaques précédentes sur le système de construction Nx. Bien que AWS ait pris des mesures pour renforcer la sécurité, le simple fait que cette faille ait existé met en lumière les risques croissants associés aux chaînes d’approvisionnement logicielles modernes.

Les détails techniques de la faille

La faille CodeBreach était due à un problème subtil dans la manière dont les pipelines CI d’AWS CodeBuild géraient les déclencheurs de construction. En l’absence de deux caractères dans un filtre regex, des attaquants non authentifiés pouvaient s’infiltrer dans l’environnement de construction et accéder à des informations sensibles. Ce filtre, qui devait normalement masquer les secrets dans les journaux, a permis une fuite de ces informations précieuses.

Les conséquences d’un tel accès sont inquiétantes. Avec les bonnes informations d’identification, un attaquant pourrait potentiellement prendre le contrôle de référentiels critiques, comme le SDK JavaScript d’AWS, utilisé dans une majorité d’environnements cloud. Cela aurait pu permettre l’injection de code malveillant, compromettant ainsi la sécurité de millions d’utilisateurs.

Les chercheurs de Wiz ont rapidement identifié la source du problème, un contournement de l’identifiant de l’acteur de la menace dû à des regex non ancrés, et ont alerté AWS. Dans les 48 heures suivant cette notification, AWS a corrigé cette faille et mis en place des mesures de sécurité supplémentaires pour protéger les processus de construction impliquant des jetons GitHub ou d’autres informations d’identification.

AWS a également audité tous les autres environnements de construction publics pour s’assurer qu’aucune autre vulnérabilité similaire n’existait dans son patrimoine open source. Cette réactivité a été saluée par la communauté de la cybersécurité, même si les inquiétudes concernant les risques futurs persistent.

Impact potentiel sur la chaîne d’approvisionnement

Les chaînes d’approvisionnement logicielles sont devenues une cible de choix pour les cybercriminels. Une fois qu’un attaquant parvient à infiltrer une partie de la chaîne, il peut potentiellement compromettre de nombreux utilisateurs en aval. La faille CodeBreach illustre parfaitement ce risque, car elle aurait pu permettre l’injection de code malveillant dans des produits largement utilisés.

Les conséquences d’une telle attaque peuvent être dévastatrices, allant de la compromission de données sensibles à l’interruption de services critiques. Les experts en cybersécurité soulignent que la sécurité des chaînes d’approvisionnement doit devenir une priorité pour les entreprises, avec une surveillance en temps réel des processus CI/CD pour détecter et prévenir de telles intrusions.

En 2025, une attaque similaire a eu lieu avec le paquet de construction Nx, ce qui a conduit à la publication de versions malveillantes du package système de construction. Bien que cette attaque ait été rapidement contenue, elle a montré à quel point il était facile pour un acteur malveillant de compromettre un composant essentiel et de l’utiliser pour attaquer d’autres parties de la chaîne.

La découverte de cette faille dans AWS souligne l’importance de la vigilance continue et de l’amélioration des pratiques de sécurité pour protéger les chaînes d’approvisionnement logicielles. Les entreprises doivent investir dans des solutions de sécurité avancées et former leur personnel à reconnaître et à réagir rapidement aux menaces potentielles.

Réponse et mesures de mitigation d’AWS

Dès la divulgation de la faille par Wiz, AWS a pris des mesures immédiates pour corriger le problème. En plus de combler la faille, AWS a introduit des mesures de renforcement spécifiques, telles que la mise en place d’une porte d’approbation de commentaires de requête de tirage (Pull Request Comment Approval) pour sécuriser les constructions non approuvées.

Cette approche proactive démontre l’engagement d’AWS à maintenir un environnement sécurisé pour ses utilisateurs. Cependant, cette réponse rapide ne doit pas masquer le fait que la vulnérabilité existait et que des mesures préventives auraient pu être mises en place plus tôt pour éviter une telle exposition.

Les experts recommandent que les entreprises utilisent des outils d’analyse statique et dynamique, ainsi que des solutions de gestion des secrets, pour réduire le risque d’exposition de données sensibles. En outre, des audits réguliers et des formations en cybersécurité devraient être intégrés dans la stratégie de sécurité globale de l’entreprise.

En fin de compte, bien que la réponse d’AWS ait été rapide et appropriée, cet incident sert de rappel brutal que la sécurité ne doit jamais être prise pour acquise, et que des efforts constants sont nécessaires pour protéger les infrastructures critiques.

Comparaisons avec d’autres failles similaires

Les failles de sécurité dans les plates-formes de construction ne sont pas nouvelles. En 2023, une attaque similaire a été signalée avec le service GitHub Actions, où des attaquants ont pu accéder à des secrets en lisant les journaux d’actions. Cette vulnérabilité, identifiée comme CVE-2025-30066, a permis à des attaquants distants de découvrir des informations sensibles, y compris des clés d’accès AWS valides.

Ces incidents montrent que les attaques sur les chaînes d’approvisionnement deviennent de plus en plus sophistiquées. Les cybercriminels exploitent souvent des failles apparemment mineures pour accéder à des informations critiques et compromettre des systèmes entiers.

La comparaison avec l’attaque Nx S1ngularity met en évidence les similitudes entre ces incidents. Dans les deux cas, une faille dans le processus de construction a permis une compromission potentielle de la chaîne d’approvisionnement. Cependant, la réponse rapide des entreprises concernées a permis de limiter les dégâts et de renforcer la sécurité pour l’avenir.

Ces situations soulignent l’importance de la collaboration entre les chercheurs en sécurité, les fournisseurs de services cloud et les entreprises pour partager des informations sur les menaces et développer des solutions efficaces pour prévenir les attaques futures.

Implications pour l’avenir de la sécurité cloud

La découverte de la vulnérabilité CodeBreach a des implications importantes pour l’avenir de la sécurité cloud. Si les services cloud offrent de nombreux avantages, ils introduisent également de nouveaux vecteurs de menaces qui doivent être gérés avec soin.

Les entreprises doivent adopter une approche proactive en matière de sécurité, en intégrant des solutions de surveillance continue et en renforçant les processus de validation des identités et des accès. De plus, la sensibilisation à la sécurité doit être renforcée au sein des équipes de développement pour garantir que les meilleures pratiques sont suivies.

L’évolution des menaces nécessite également une adaptation continue des stratégies de sécurité. Les entreprises doivent rester vigilantes et prêtes à répondre rapidement aux nouvelles vulnérabilités pour protéger leurs infrastructures et leurs données.

Enfin, la collaboration entre les entreprises, les chercheurs et les régulateurs est essentielle pour améliorer la sécurité globale du cloud. En travaillant ensemble, ils peuvent développer des normes de sécurité robustes et partager des informations sur les menaces pour créer un écosystème cloud plus sûr et plus résilient.