AWS разкри сериозна уязвимост в оторизацията в своето приложение Amazon Connect Salesforce Lambda, която би могла да позволи на атакуващите да извършват привилегировани действия в облака извън съответните им IAM разрешения.

Уязвимостта, проследявана като CVE-2026-94384, засяга Lambda функцията sfExecuteAWSService, включена в AmazonConnectSalesforceLambda версии от 5.15 до 5.24.16.

AmazonConnectSalesforceLambda е приложение от Serverless Application Repository, предназначено за интегриране на услугите за контактен център Amazon Connect със Salesforce.

Засегнатата Lambda функция се използва по време на първоначалния процес на настройка, където помага на интеграцията да извършва операции в AWS услугите, необходими за конфигурацията.

Дефектът съществува, тъй като функцията sfExecuteAWSService не проверява правилно дали извикващият е упълномощен да изисква операцията на AWS, предоставена в нейните параметри.

AWS Lambda дефект

Вместо това функцията може да изпраща контролирани от извикващия параметри към API на AWS услугите, докато използва собствената си привилегирована роля за изпълнение. Това създава условие за заобикаляне на разрешенията.

Дадена IAM идентичност се нуждае единствено от разрешение lambda: InvokeFunction за уязвимата функция, за да изпълнява потенциално AWS операции, които нейната индивидуална IAM политика обикновено би блокирала.

В същността си Lambda функцията може да се превърне в привилегировано прокси за потребители с по-малко права или компрометирани идентичности. Атакуващ, който получи достъп до IAM идентичност с разрешение да извиква функцията, би могъл да злоупотреби с проблема, за да достъпи AWS услуги, да променя облачни ресурси или да извършва действия, разрешени от ролята за изпълнение на Lambda.

Възможното въздействие зависи от разрешенията, присвоени на ролята на функцията, и AWS API, достъпни чрез предоставените параметри.

От AWS заявиха, че засегнатата функция е предназначена само за първоначално внедряване и настройка. Организации, които я оставят активирана след конфигурацията, могат излишно да изложат на риск вектор за ескалация на привилегии.

Проблемът е от особено значение в среди, където разрешенията за извикване на Lambda се предоставят широко на разработчици, акаунти за автоматизация, интеграции на трети страни или други IAM субекти.

AWS пусна версия 5.26 на AmazonConnectSalesforceLambda за отстраняване на уязвимостта CVE-2026-94384. Организациите, използващи засегнати версии, трябва незабавно да извършат обновяване и да прегледат дали функцията sfExecuteAWSService остава необходима след конфигурирането на интеграцията между Amazon Connect и Salesforce.

След завършване на настройката AWS препоръчва премахване или изключване на Lambda функцията sfExecuteAWSService. Ако организация трябва да запази функцията, тя трябва стриктно да ограничи достъпа lambda: InvokeFunction само до единствения IAM потребител, използван от CTI Adapter. Никакви други IAM потребители, роли, групи или субекти не трябва да имат разрешение да я извикват.

За по-силна защита организациите могат да използват AWS Service Control Policies или граници на разрешенията (permission boundaries), за да откажат изрично достъпа за извикване на всички останали субекти.

Администраторите трябва също така да конфигурират параметъра SalesforceExecuteAWSServiceUser със същия IAM потребител, оторизиран да използва CTI Adapter, което помага за ограничаване на извикванията между различни акаунти. Екипите по сигурност трябва да потвърдят, че уязвимата функция е премахната или деактивирана след настройката.

Ако е необходимо да запазите данните защитени, екипите трябва да проверят IAM политиките, политиките за ресурси на Lambda, ролите за изпълнение, дневниците на CloudTrail и настройките за доверие между акаунти за неочаквана употреба. AWS изразява благодарност на Chang Li от Xidian University за докладването на проблема чрез процеса за координирано разкриване на уязвимости.