Java 通过XXE在AWS lambda中etc/passwd风险敞口是否存在风险

我有一个用Java编写的Lambda，它进行XSL转换

我们尝试了暴露etc/passwd文件的XXE攻击

这是我认为AWS会处理的问题吗？不过我不确定

或者我们应该在Lambda代码中专门处理这种安全性

在本白皮书中

“1.chroot–提供对底层文件系统的作用域访问。

---

2.“操作系统和网络”由AWS负责“

AWS负责修补和维护操作系统和运行时。但如果您有意引入XXE漏洞，则您有责任确保安全

虽然在lambda函数上公开/etc/passwd（您是低权限沙盒用户）并不是很关键，但也可能会出现其他问题

例如，如果他们可以运行漏洞攻击来公开函数中的环境变量，那么他们可以获取函数运行所在IAM角色的AWS API密钥，并从中访问函数可以访问的任何内容

它还可以从

/tmp

和

/var/task

目录中的任何内容中读取和提取数据，这两个目录分别保存临时文件和代码/二进制文件

---

XXE漏洞不属于AWS的权限范围，这是由应用程序代码引入的漏洞——您应该修复它。

同意必须处理一些事情，但我觉得/etc/passwd在任何时候都不应该被Lambda访问/etc/passwd在这种情况下纯粹是用户数据库，这不是一个安全问题，因为数据对于所有lambda调用都是通用的。有什么好的技巧可以帮助我找到这样的漏洞吗