偵測

Amazon Cognito 使用者列舉

medium Web App Scanning Plugin ID 113371

語系：

概要

Amazon Cognito 使用者列舉

說明

Amazon Cognito 是 Amazon Web Services (AWS) 的一款雲端產品，可為 Web 應用程式和行動應用程式提供使用者驗證、授權和管理服務。透過使用 Amazon Cognito，開發人員可以快速將使用者管理功能新增至其應用程式，透過定義角色來控制這些使用者並強制執行權限，或聯合來自外部身分提供者的身分。在某些情況下，Amazon Cognito 允許未經驗證的攻擊者濫用登入和註冊功能，推斷目標應用程式上是否存在帳戶。

解決方案

透過啟用應用程式使用的 Cognito 使用者集區上的「Prevent user existence errors」進階安全性選項，可減輕登入使用者列舉問題的影響。Amazon 目前並未針對註冊功能提供緩解措施，透過新增 AWS lambda 在註冊階段處理 Amazon Cognito 的註冊程序可以緩解此問題。

另請參閱

https://aws.amazon.com/cognito/

https://docs.aws.amazon.com/cognito/latest/developerguide/cognito-user-pool-managing-errors.html

https://github.com/aws-amplify/amplify-js/issues/1183

https://github.com/aws-amplify/amplify-js/issues/6238

Plugin 詳細資訊

嚴重性: Medium

ID: 113371

類型: remote

已發布: 2022/10/5

已更新: 2023/3/8

掃描範本: basic, full, pci, scan

風險資訊

VPR

風險因素: Low

分數: 2.2

CVSS v2

風險因素: Medium

基本分數: 5

媒介: CVSS2#AV:N/AC:L/Au:N/C:P/I:N/A:N

CVSS 評分資料來源: Tenable

CVSS v3

風險因素: Medium

基本分數: 5.3

媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

CVSS 評分資料來源: Tenable

參考資訊