Una configuración crítica errónea en AWS CodeBuild permitió a atacantes no autenticados tomar el control de repositorios clave de GitHub propiedad de AWS, incluyendo el ampliamente utilizado AWS JavaScript SDK, que impulsa el propio AWS Console.

Esta vulnerabilidad en la cadena de suministro amenazó con un compromiso a nivel de plataforma, pudiendo inyectar código malicioso en aplicaciones y en el Console en innumerables entornos de AWS.

Ataque a la cadena de suministro del AWS Console

La firma de seguridad Wiz Research ha revelado que CodeBreach se originó por patrones de expresiones regulares no anclados en los filtros de webhooks de CodeBuild para el parámetro ACTOR_ID, que debería restringir las compilaciones a IDs de usuario de GitHub confiables.

Al no usar los anclajes ^ y $, el filtro coincidía con cualquier ID de usuario que contuviera una subcadena aprobada, permitiendo eludir la seguridad mediante eventos de "eclipse", donde nuevos IDs de GitHub más largos incorporan IDs de mantenedores antiguos.

La asignación secuencial de IDs de GitHub, que crea alrededor de 200,000 diarios, hizo que estos solapamientos fueran frecuentes para los IDs de 6-7 dígitos en cuatro repositorios de AWS: aws/aws-sdk-js-v3, aws/aws-lc, corretto/amazon-corretto-crypto-provider y awslabs/open-data-registry.

Los atacantes explotaban esto creando masivamente GitHub Apps mediante el flujo de manifiesto para competir por IDs de eclipse, luego enviaban solicitudes de extracción (pull requests) que activaban compilaciones con privilegios.

En una prueba de concepto contra aws/aws-sdk-js-v3 (PR #7280), un código oculto en la carga útil volcó la memoria para extraer un Token de Acceso Personal (PAT) de la cuenta aws-sdk-js-automation, a pesar de las mitigaciones previas del incidente de Amazon Q en 2025.

El PAT otorgaba permisos de repositorio y admin:repo_hook, permitiendo invitaciones de colaborador para escalar privilegios y realizar pushes directos a la rama principal.

Comprometer el JavaScript SDK ponía en riesgo infectar sus lanzamientos semanales en NPM, afectando al 66% de los entornos en la nube escaneados y al AWS Console, que incluye versiones recientes del SDK junto con credenciales de usuario, según informó Wiz.

El PAT robado también controlaba repositorios privados relacionados, amplificando los riesgos en la cadena de suministro, similares a los de Nx S1ngularity o el ataque a Amazon Q (AWS-2025-015). Wiz detuvo la escalada tras la prueba de concepto y reveló responsablemente la vulnerabilidad el 25 de agosto de 2025.

AWS corrigió el fallo en las expresiones regulares en 48 horas, revocó los tokens, endureció las protecciones de memoria, auditó las compilaciones públicas y confirmó que no hubo explotación según los registros.

No se vieron afectados datos de clientes. Nuevas funciones como Aprobación de Comentarios en Pull Requests y ejecutores alojados en CodeBuild ahora bloquean compilaciones no confiables.

Tú debes anclar las expresiones regulares de los webhooks, usar PATs con permisos mínimos, habilitar puertas de aprobación para PRs y escanear configuraciones vulnerables mediante consultas de Wiz.

AWS recomendó desactivar las compilaciones automáticas de PRs desde fuentes no confiables. El diagrama del flujo de ataque destaca el camino desde un PR malicioso hasta el riesgo en el Console.

Esto subraya que los pipelines de CI/CD son objetivos principales: complejos, con altos privilegios y expuestos a entradas no confiables. La divulgación pública se realizó el 15 de enero de 2026.