یک آسیب‌پذیری امنیتی با شناسه CVE-2026-94384 در اپلیکیشن AmazonConnectSalesforceLambda شناسایی شده است. این اپلیکیشن که در Serverless Application Repository ارائه می‌شود، توابع Lambda را برای یکپارچه‌سازی Amazon Connect با Salesforce فراهم می‌کند.
تحلیل فنی آسیب‌پذیری
مشکل مذکور در تابع sfExecuteAWSService رخ داده است که عمدتاً در مراحل اولیه پیکربندی (Setup) مورد استفاده قرار می‌گیرد. این تابع پارامترهای ارسالی توسط کاربر را بدون اعتبارسنجی سطح دسترسی (Authorization)، به APIهای привиleged در سرویس‌های AWS ارسال می‌کند. در نتیجه، هر IAM Principal که دارای مجوز lambda:InvokeFunction برای این تابع باشد، می‌تواند عملیاتی را در محیط AWS اجرا کند که در حالت عادی توسط سیاست‌های دسترسی (IAM Permissions) وی محدود شده است.
نسخه‌های آسیب‌پذیر
- نسخه‌های 5.15 و بالاتر تا ورژن 5.24.16
راهکارهای اصلاحی و کاهش ریسک
برای رفع این مشکل، اقدامات زیر توصیه می‌شود:
- به‌روزرسانی: ارتقاء AmazonConnectSalesforceLambda به نسخه 5.26 یا نسخه‌های جدیدتر.
- مدیریت تابع: پس از اتمام مراحل Setup، تابع
sfExecuteAWSServiceرا حذف یا غیرفعال کنید. - محدودسازی دسترسی: در صورتی که نیاز به حفظ این تابع دارید، دسترسی
lambda:InvokeFunctionرا تنها به کاربر IAM مورد استفاده توسط CTI Adapter محدود کنید و برای سایر کاربران، دسترسی را از طریق Service Control Policy (SCP) یا Permission Boundary مسدود نمایید. - پیکربندی پارامتر: پارامتر
SalesforceExecuteAWSServiceUserرا دقیقاً روی همان کاربر IAM تنظیم کنید تا فراخوانی‌های Cross-account محدود شود.
