Role tin cậy tài khoản khác mà không có External ID

Vấn đề là gì

Trust policy cho tài khoản AWS khác assume role nhưng không có điều kiện sts:ExternalId. Nếu đó là nhà cung cấp bên thứ ba, họ có thể bị lợi dụng để dùng role cho khách hàng khác (confused deputy). Trust trong cùng AWS Organization (aws:PrincipalOrgID) và role gắn tag 6waf:trust-reviewed=true được bỏ qua

The trust policy lets another AWS account assume the role without an sts:ExternalId condition. If that account belongs to a third-party vendor, the vendor can be tricked into using the role for another of its customers (confused deputy). Trust inside your own AWS Organization (aws:PrincipalOrgID) and roles tagged 6waf:trust-reviewed=true are skipped

6WAF phát hiện thế nào

• Check tất định bằng lời gọi AWS API (IAM, S3, EC2/VPC, CloudTrail, KMS, Secrets Manager, ACM, các dịch vụ phát hiện) — không dùng LLM để phát hiện; mức độ nghiêm trọng là giá trị scanner gán, hiển thị ở trên.
• Quét qua IAM Role bạn tự deploy bằng CloudFormation; 6WAF không giữ credential và bạn thu hồi quyền bất cứ lúc nào bằng cách xóa stack.
• Điểm quét tự động chỉ bao phủ một phần phạm vi chuẩn như ISO 27001 — đây là đánh giá kỹ thuật, không phải chứng nhận.