Falha no AWS CodeBuild (CodeBreach) Ameaçou Tomada de Repositórios GitHub em 2025
Uma falha crítica no AWS CodeBuild poderia ter permitido que invasores comprometessem repositórios GitHub da AWS, incluindo o SDK JavaScript, arriscando ataques à cadeia de suprimentos.
Configuração Incorreta no AWS CodeBuild Expôs Repositórios GitHub a Ataques à Cadeia de Suprimentos
Uma configuração incorreta de segurança no Amazon Web Services (AWS) CodeBuild poderia ter permitido que agentes mal-intencionados comprometessem os próprios repositórios GitHub da AWS — incluindo o AWS JavaScript SDK — potencialmente desencadeando ataques à cadeia de suprimentos em larga escala em ambientes AWS. A vulnerabilidade, batizada de CodeBreach, foi identificada pela empresa de segurança em nuvem Wiz e corrigida pela AWS em setembro de 2025, após divulgação responsável.
Detalhes Técnicos do CodeBreach
A falha decorreu de uma configuração incorreta na integração do AWS CodeBuild com repositórios GitHub. Segundo pesquisadores da Wiz, o problema permitia acesso não autorizado aos repositórios internos da AWS no GitHub, explorando escopos de tokens OAuth excessivamente permissivos e configurações de projetos de build. Embora os mecanismos técnicos exatos não tenham sido divulgados, a configuração incorreta poderia ter concedido aos invasores:
- Acesso total ao repositório, incluindo permissões de leitura e escrita;
- Capacidade de injetar código malicioso nos SDKs da AWS ou em outros repositórios críticos;
- Potencial para comprometimento da cadeia de suprimentos, já que dependências adulteradas poderiam se propagar por serviços AWS.
A Wiz destacou que a vulnerabilidade não exigia acesso prévio a contas AWS, tornando-a particularmente grave para organizações que dependem dos serviços gerenciados de build da AWS.
Análise de Impacto
Caso a falha tivesse sido explorada, as consequências poderiam ter sido catastróficas:
- Ataques à cadeia de suprimentos: Atores mal-intencionados poderiam ter alterado SDKs da AWS ou outras dependências, levando à implantação de software com backdoors para clientes AWS;
- Exfiltração de dados: Dados sensíveis de repositórios, incluindo código proprietário da AWS, poderiam ter sido expostos;
- Dano à reputação: Um ataque bem-sucedido aos próprios repositórios da AWS teria abalado a confiança na segurança da plataforma.
A Wiz não divulgou se a vulnerabilidade foi explorada ativamente antes da correção. A AWS não relatou evidências de uso indevido.
Recomendações para Equipes de Segurança
Embora a AWS tenha corrigido o problema, profissionais de segurança devem:
- Auditar configurações do CodeBuild: Revisar integrações com repositórios GitHub em busca de tokens OAuth ou configurações de projetos de build excessivamente permissivos;
- Monitorar riscos à cadeia de suprimentos: Implementar varredura de dependências e verificações de integridade para SDKs da AWS e outras bibliotecas de terceiros;
- Aplicar o princípio do menor privilégio: Restringir permissões de repositórios apenas a funções e serviços necessários;
- Manter-se atualizado sobre alertas de segurança em nuvem: Assinar boletins de segurança da AWS para ameaças emergentes.
A AWS não atribuiu um CVE ID a essa vulnerabilidade, mas as organizações são aconselhadas a verificar se suas implantações do CodeBuild estão alinhadas com as melhores práticas de segurança mais recentes da AWS.
Relatório original por The Hacker News.