Des clients de la boutique voient la page « Mon compte » d'autres clients : nom, adresse, commandes

La boutique MasterLinux (boutique.masterlinux.lab) vend les packs de formation. Elle est servie par la distribution CloudFront E1MLX7Q2B9K4TZ devant un ALB et le serveur d'origine ml-web-01 (nginx + application Node.js). Les pages du compte client sont sous /compte/*, la session est dans le cookie ml_session.

Hier à 18:12, l'équipe plateforme a livré le changement CHG-2231 « optimisation du cache CloudFront, baisse de la charge sur l'origine ». Depuis ce matin, le support a reçu onze signalements : en ouvrant « Mon compte », des élèves voient le nom, l'adresse et l'historique de commandes d'un autre élève.

C'est une fuite de données personnelles en cours. Le directeur technique veut qu'elle s'arrête dans l'heure, sans couper la boutique, et un rapport pour la déclaration. Vous êtes l'ingénieur sécurité cloud d'astreinte, sur ml-poste-01 (AWS CLI v2, curl), avec un accès SSH à ml-web-01. Le support vous a fourni deux cookies de session de comptes de test : ml_session=t3st-a71 (etudiant-test-a) et ml_session=t3st-b52 (etudiant-test-b).