Se ha identificado una vulnerabilidad de seguridad crítica en AWS Amplify Studio, lo que podría permitir a un usuario autenticado ejecutar el código JavaScript arbitrario durante el proceso de representación y construcción de componentes.
Amazon Web Services (AWS) ha revelado y reparado este defecto de alta resistencia rastreado el 5 de mayo de 2025 como CVE-2025-4318.
Este problema destaca la necesidad urgente de una verificación de entrada robusta con herramientas de desarrollo modernas, particularmente porque las organizaciones dependen de plataformas como Amplify Studio para acelerar el desarrollo delantero y optimizar las implementaciones de la nube.
AWS amplifica las vulnerabilidades de estudio
Esta vulnerabilidad afecta particularmente al paquete Amplify-Codegen-UI, un componente central de AWS Amplify Studio que genera código front-end de las entidades Builder (componentes, formularios, vistas, temas).
Este paquete se utiliza principalmente en Amplify Studio para vista previas de componentes y genera archivos de componentes en aplicaciones locales de clientes utilizando la interfaz de línea de comandos AWS (CLI).
Según el Boletín Oficial de Seguridad de AWS, la vulnerabilidad se atribuye a la validación de entrada insuficiente en la función de unión de expresión de las propiedades de componentes de interfaz de usuario de Amplify Studio.
Cuando utilice el comando Crear componente para importar un esquema de componentes, genere la importación de Studio con Amplify Studio Imports y genere las propiedades del esquema de componentes sin validarlas correctamente antes de convertirlas en expresiones.
La vulnerabilidad recibe una puntuación CVSS V4 significativa de 9.5, destacando su naturaleza grave y su impacto potencial.
Para aprovechar esta vulnerabilidad, necesita un usuario autenticado con permiso para crear o modificar componentes dentro de Amplify Studio. Dichos usuarios pueden insertar y ejecutar código JavaScript arbitrario durante el proceso de representación y construcción de componentes.
Los investigadores de seguridad describieron algunos de los impactos potenciales de la explotación exitosa.
Cualquier ejecución de código en el sistema de backend. Eliminación de datos ilegales. Interrupción del servicio debido a scripts maliciosos. Posibles ataques de la cadena de suministro si los componentes comprometidos se extienden a aplicaciones aguas abajo.
“Como resultado, un usuario autenticado que puede crear o modificar un componente puede ejecutar cualquier código JavaScript durante el proceso de representación y construcción del componente”, dijo AWS Advisory.
Factores de riesgo Detalles Attected ProductsWs Amplify Studio (Amplify-Codegen-UI) ≤2.20.2ImpactarbitraryJavaScript CodeExecutionExPloit ComponentsCVSS 3.1 Usuarios previos con privilegios para crear o modificar standing9.5 (crítico)
alivio
AWS aborda la vulnerabilidad al lanzar la versión 2.20.3 del paquete Amplify-Codegen-UI.
Según los expertos en seguridad, las organizaciones que usan AWS Amplify Studio deben tomar medidas inmediatas para proteger sus sistemas.
Los procedimientos de mitigación importantes incluyen:
Actualización inmediata: Actualizar a Amplify-Codegen-UI Versión 2.20.3 a través de la interfaz AWS CLI o Amplify Studio. Auditoría Componentes personalizados: verifique todos los esquemas de componentes para ver los fragmentos de código inesperados. Restringir las permisos: restringir los derechos de edición solo a usuarios de confianza. Código de horquilla de parche: asegúrese de que su bifurcación o código derivado tenga una solución oficial.
Para la protección continua, los analistas de seguridad recomiendan implementar medidas de protección adicionales.
Los monitores construyen registros de actividad inusual en las tuberías de representación de componentes. Permite a AWS CloudTrail rastrear las llamadas API relacionadas con los cambios de componentes. Escanee el esquema de importación del código no confiable para validar los componentes de terceros.
La vulnerabilidad fue reportada a través del proceso de divulgación de problemas coordinados por Ray the Bounty Hunter.
Este incidente destaca la importancia de la validación de entrada rigurosa en el entorno de desarrollo de bajos códigos, particularmente en el procesamiento de la generación y representación de componentes. AWS confirmó que no se detectaron exploits salvajes y activos antes del parche.
¿Configuración del equipo de SOC? – Descargue la Guía de precios de SIEM Ultimate (PDF) gratuita para equipos SOC -> Descarga gratuita
