[业内新闻动态] [【转载】] LexisNexis 数据泄露事件——攻击者声称窃取了 2.04 GB 数据

结论

LexisNexis事件核心问题为前端漏洞（React2Shell）+过度授权的AWS任务角色+明文存储敏感密钥的三重叠加，导致攻击面横向扩展。攻击者通过React应用突破边界后，因权限失控可直接访问核心资源，最终泄露用户数据和基础设施拓扑。

分析路径

L1攻击面识别

1. 入口点：React前端应用（React2Shell漏洞）
   • Source: 前端代码逻辑缺陷（如未验证用户输入或存在XSS/RCE触发点）
   • Sink: 未隔离的后端API或容器任务角色
2. 权限扩散：LawfirmsStoreECSTaskRole
   • 授予对Redshift、RDS数据库、Secrets Manager的过度读取权限（如全局密钥访问）
   • Sink: 通过任务角色直接拉取生产环境密钥（如RDS密码"Lexis1234"未加密存储）
3. 敏感数据存储：
   • AWS Secrets Manager以明文存储53个密钥
   • 用户配置文件未脱敏（包含.gov邮箱、电话等）

L2假设与验证

1. 攻击链验证：
   • 假设1：React2Shell漏洞利用导致反序列化或代码注入
     • 验证：检查React前端代码是否存在未过滤的dangerouslySetInnerHTML或组件属性注入点
   • 假设2：任务角色权限被滥用
     • 验证：分析AWS CloudTrail日志，确认攻击者是否通过sts:AssumeRole或直接调用secretsmanager:GetSecretValue拉取密钥
2. 数据泄露路径：
   • 数据流向：前端漏洞 → 获取容器权限 → 通过角色读取Secrets Manager → 下载明文密钥 → 访问Redshift/VPC数据库

L3边界/异常场景

1. 权限边界失效：
   • 任务角色本应仅访问特定LawFirmsStore数据，却能跨区域读取17个VPC数据库
   • 验证：检查IAM策略中是否存在Resource: "*"的宽松配置
2. 密钥存储异常：
   • RDS主密码设置为简单字符串"Lexis1234"，违反AWS密钥复杂度要求
   • 验证：检查Secrets Manager中密钥是否被正确加密（如KMS CMK使用状态）

L4防御反推与修复

1. 漏洞修复：
   • 补丁React2Shell漏洞，强制前端代码进行输入白名单过滤（如React版CSP策略）
2. 权限最小化：
   • 为LawfirmsStoreECSTaskRole细粒度绑定IAM策略，仅允许访问特定ARN资源
   • 通过AWS SCP（Service Control Policies）限制任务角色对Secrets Manager的跨区域/跨服务访问
3. 密钥安全加固：
   • 强制Secrets Manager密钥使用AWS KMS加密，并启用密钥轮换策略
   • 替换所有明文存储的密码（如RDS主密码），改为通过动态IAM角色临时凭证访问数据库
4. 监控与溯源：
   • 部署CloudWatch日志分析规则，监控secretsmanager:GetSecretValue高频调用
   • 配置GuardDuty检测任务角色异常权限提升行为

验证步骤

1. 漏洞验证：
   • 使用nuclei扫描React应用是否存在react-rce模板匹配的漏洞
   • 查看应用代码中是否存在未过滤的new Function()或eval()调用
2. 权限验证：

   # 检查LawfirmsStoreECSTaskRole的权限边界
   aws iam list-attached-role-policies --role-name LawfirmsStoreECSTaskRole | grep "SecretsManager"
   # 验证Secrets Manager密钥是否加密存储
   aws secretsmanager describe-secret --secret-id <secret_arn> --query 'KmsKeyId'

3. 日志溯源：

   # 检查Secrets Manager的访问记录
   aws cloudtrail lookup-events --lookup-attributes '{"AttributeKey": "EventName", "AttributeValue": "GetSecretValue"}' --max-items 100

修复建议

1. 立即行动：
   • 拆分任务角色权限（生产环境角色与容器运行角色分离）
   • 关闭所有未使用的Secrets Manager密钥访问权限
2. 长期防御：
   • 部署SAST工具（如Snyk）对React代码进行RCE漏洞扫描
   • 启用AWS配置规则（AWS Config）监控IAM策略的最小化原则（如拒绝Resource: "*"策略）
   • 对所有.gov邮箱用户推送双重认证（MFA）强制策略

关键结论：此次事件本质是权限爆炸模型（Principle of Least Privilege失效）+基础安全配置缺失的典型，修复需从代码层、IAM策略层、密钥管理层三端同步加固。