VKSECURITY Falha na AWS permitia driblar restrições e alcançar as credenciais da máquina
A Amazon corrigiu uma falha no agente que gerencia as máquinas na nuvem: um usuário autenticado conseguia contornar as restrições de encaminhamento de porta e alcançar o serviço interno que entrega as credenciais temporárias da instância. Atualizar o agente é simples, e vale conferir hoje.
Quem usa AWS provavelmente tem o Systems Manager Agent instalado sem nem pensar nele. É o programa que a Amazon coloca nas máquinas virtuais para permitir gerenciamento remoto, abertura de sessões e encaminhamento de portas — tudo sem precisar deixar o acesso remoto tradicional aberto para a internet. É considerado a forma segura de administrar servidores na nuvem.
Foi nele que apareceu a falha.
O que a falha permite
A vulnerabilidade CVE-2026-89049 está no controle de encaminhamento de porta do agente. Um usuário já autenticado conseguia contornar as restrições que bloqueiam certos destinos, informando o endereço bloqueado de uma forma alternativa que o filtro não reconhecia.
O destino que interessa ao atacante é um endereço interno específico: 169.254.169.254. Para quem não é da área, esse é o serviço de metadados da instância — o endereço interno que entrega, entre outras coisas, as credenciais temporárias que a máquina usa para falar com os demais serviços da nuvem.
Alcançar esse endereço significa, na prática, obter as credenciais da máquina e passar a agir com as permissões dela dentro da conta da empresa.
O que fazer
A correção está disponível, e a ação é direta:
- Atualize o agente para a versão 3.3.4851.0 ou posterior. Em boa parte dos ambientes isso é automático, mas vale conferir — máquinas antigas costumam ficar para trás.
- Revise as permissões dos papéis de acesso (IAM) das instâncias. Este caso é o argumento perfeito para o princípio do menor privilégio: se a credencial da máquina só puder fazer o estritamente necessário, o estrago de um vazamento é pequeno.
- Audite as sessões do Session Manager. Quem abriu sessão, para qual máquina, quando e com qual finalidade. É o registro que mostra uso indevido.
O ponto que vale guardar
Existe uma armadilha comum em segurança de nuvem: tratar a ferramenta oficial do provedor como se fosse infalível. O agente da AWS é, de fato, mais seguro que deixar uma porta de acesso remoto exposta — e continua sendo a recomendação. Mas ele é software, e software tem falha.
A consequência prática é simples: o que protege a conta não é a ferramenta, é a permissão bem desenhada por trás dela. Uma credencial de máquina com permissão ampla transforma qualquer falha pequena em incidente grande. Uma credencial restrita transforma a mesma falha em um susto.
Se faz tempo que ninguém revisa quem pode o quê na sua nuvem, esta notícia é um bom pretexto para marcar essa revisão.
Fontes
- AWS Security Bulletins — comunicados oficiais de segurança: aws.amazon.com/security/security-bulletins
- NVD — CVE-2026-89049: nvd.nist.gov
- Foto de capa: prédio da AWS (Amazon Web Services) com o logotipo da empresa — Tony Webster, CC BY 2.0, via Wikimedia Commons
- Segunda imagem: logotipo da Amazon Web Services — Amazon, domínio público, via Wikimedia Commons
