Europa.eu Hack Exposes Critical IAM Misconfigurations

A recent breach of Europa.eu, the European Union's official web hosting platform, underscores severe failures in Identity and Access Management (IAM) that could have been mitigated by stricter adherence to the principle of least privilege. The attack, publicly confirmed by the European Commission on March 27th, resulted in the exfiltration of 340 GB of data, later published by the ShinyHunters group.

Analysis by a Polish cybersecurity specialist, going beyond the initial CERT-EU advisory, pinpointed a dual access control failure. The attackers exploited an identity with permissions to retrieve secrets from *any* Amazon Resource Name (ARN) within the AWS account. Compounding this, the Single Sign-On (SSO) principal was configured with a wildcard permission. Coupled with a lack of Multi-Factor Authentication (MFA) at the identity provider level, this excessive access allowed the attackers to enumerate resources, retrieve DKIM keys stored in plaintext in AWS Secrets Manager, and siphon data from S3, Athena, and NextCloud services.

The stolen data is particularly sensitive, including emails with attachments and the entire SSO directory contents—a combination that enables highly targeted phishing campaigns. The compromised DKIM keys also allowed for the potential spoofing of the official @ec.europa.eu domain until key rotation at the DNS level (likely already performed). The cache also contained operationally valuable data for follow-on attacks, such as AWS configuration dumps, Athena query results (typically used for log and metric analysis), and URLs for internal administration interfaces.

CERT-EU's April 2nd update detailed the initial access vector: a misconfiguration in a GitHub Actions environment allowed attackers to steal a token. This token was used to intrude on the release process via Trivy, an open-source vulnerability scanner, leading to the deployment of a malicious version containing an information-stealer. The incident serves as a stark lesson in the critical importance of precise IAM configuration and robust access controls.

Avec une meilleure mise en œuvre du principe de moindre privilège, Europa.eu aurait peut-être échappé au piratage.

Le constat s’impose à la lecture de l’analyse d’un spécialiste SSI polonais. L’intéressé est allé plus loin que la communication publique du CERT-EU. Il en a conclu à un double problème de contrôle d’accès aux ressources.

D’une part, l’identité utilisée par les attaquants avait la permission de récupérer des secrets depuis tout ARN au sein du compte. De l’autre, le principal SSO avait une wildcard.

La politique problématique pourrait ressembler à ceci :

Conjugué à l’absence de MFA au niveau du fournisseur d’identité, ce niveau d’accès a permis d’énumérer les ressources (s3:ListBucket, iam:ListRoles), de récupérer des clés DKIM (stockées en clair dans AWS Secrets Manager) et d’exfiltrer pour 340 Go de données (via S3, Athena et NextCloud).

Le CERT-EU avait dévoilé le vecteur d’accès initial

Le butin comprend des e-mails avec pièces jointes ainsi que le contenu de l’annuaire SSO. Leur combinaison ouvre la voie à du phishing ciblé ; les clés DKIM, à l’usurpation du domaine @ec.europa.eu, du moins jusqu’à confirmation de la rotation des clés au niveau DNS (ce qu’Europa.eu a probablement fait depuis).

Dans le package se trouvent aussi des données opérationnelles potentiellement intéressantes en vue d’autres attaques. Par exemple, des dumps de configs AWS, des résultats de requêtes Athena (typiquement, analyse de logs et de métriques) et des URL d’interfaces d’administration internes.

La Commission européenne avait officialisé le piratage d’Europa.eu (plate-forme d’hébergement des sites web de l’UE) le 27 mars, trois jours après en avoir trouvé trace. Le lendemain, le groupe ShinyHunters publiait les données.

Le CERT-EU avait communiqué le 2 avril. Il avait notamment apporté des précisions sur le vecteur d’accès initial. En l’occurrence, Trivy, un scanner de vulnérabilités open source. Un token récupéré via une mauvaise configuration dans l’environnement GitHub Actions avait permis une intrusion dans le processus de release. Et la publication d’une version malveillante contenant un infostealer.

Illustration principale générée par IA

The post Piratage d’Europa.eu : une leçon de configuration IAM appeared first on Silicon.fr.