攻击者用与 Qubole 关联的 AWS 凭据进入客户账户
Wiz 与 Sentra 发现，攻击者使用与 Qubole 关联的 AWS 账户的 IAM 凭据接管集成角色。攻击者窃取 S3 数据，读取可能通往 AWS、Entra ID 和 Okta 的密钥。闲置的信任策略仍可授予访问。
- 披露时间
- 2026年11月9日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- IAM 角色信任与 Qubole 关联账户的 AWS 客户账户，包括闲置集成。
- AWS · IAM · supply chain
- 在野利用
- 已发现
- Wiz 与 Sentra 观察到未经授权的角色扮演及 AWS 客户资源访问。
发生了什么
攻击者提交了预期的 External ID，取得仍信任 Qubole 关联账户的角色的临时凭据。可访问范围由角色权限策略决定。管理事件可显示角色扮演和存储桶枚举。S3 对象读取需要数据事件或服务器访问日志才能确认。研究没有确定厂商凭据的取得方式。Wiz 于 11 月 11 日提及第三方转述的认领，尚未确立归因。
案发时间线
2026年10月8日至11日
Wiz 观察到另一起客户密钥事件
攻击者使用疑似为 Qubole 创建的客户密钥。Wiz 尚未将这起事件与后续角色扮演关联。
2026年10月14日至26日
攻击者扮演客户集成角色
Wiz 观察到密钥收集、被盗凭据有效性验证和 S3 数据外传。
2026年11月9日
Wiz 与 Sentra 公开调查结果
两家机构发布角色扮演和数据访问的排查指引。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- Wiz 应急响应研究一手来源记录成功扮演角色、密钥验证、S3 数据外传和检测方法，并在 11 月 11 日提及未经核实的认领。
- Sentra 应急响应研究一手来源说明在 Sentra 客户环境中观察到的情况和检测过程。