English
Español
Français
Deutsch
日本語
한국어
العربيةاختطاف دور تعريف مهمة Batch
يمكنه إرسال مهمة Batch بأمر متجاوِز وتشغيل حاوية بصلاحيات دور المهمة الخاص بها.
يمنح التصعيد بمفرده.
batch:SubmitJobبمفرده، يستطيع batch:SubmitJob إرسال مهمة Batch بأمر تجاوز وتشغيل حاوية بدور المهمة الخاص بها. وفي نطاق موارد واسع يكفي ذلك وحده للوصول الإداري.
لماذا هو خطير
يمكن لكيان رئيسي أن يستدعي batch:SubmitJob على تعريف مهمة Batch موجود يحمل بالفعل دور المهمة (job role)، مقدّماً ContainerOverrides.Command يتحكم في أمر الصدفة (shell) فيه المهاجم. يشغّل Batch ذلك الأمر في حاوية بصفته الدور المستهدف، دون الحاجة إلى iam:PassRole ولا batch:RegisterJobDefinition، لأن الدور المستهدف مرتبط بالفعل بتعريف المهمة. يقرأ الأمر بيانات اعتماد الدور المستهدف الحية من نقطة نهاية بيانات المهمة أو يستدعي AWS مباشرة؛ وإذا كان الدور المستهدف مميزاً فهذا تصعيد كامل للامتيازات ضد تعريف مهمة كان موثوقاً بالفعل.
وفق مصطلحات MITRE ATT&CK، يقابل هذا T1578، تعديل بنية الحوسبة السحابية، ضمن تكتيك تصعيد الامتيازات. يسجّله AWS في CloudTrail باسم SubmitJob. هذه العملية واضحة في CloudTrail وتبرز عن النشاط الاعتيادي.
الكشف
SubmitJobالمتطلبات المسبقة
تعريف مهمة Batch موجود مع jobRoleArn، وطابور مهام يمكن الوصول إليه، وإذن لتقديم مهمة. يجب أن يُسمح بـ ContainerOverrides.Command (وهو الوضع الافتراضي).
MITRE ATT&CK
T1578 · تعديل البنية التحتية للحوسبة السحابيةتكتيك
تصعيد الامتيازات
من الضوابط التي قد تزيله: تقييد batch:SubmitJob على قوائم/تعريفات المهام التي تحمل jobRoleArn مميزاً، مع عدم السماح بـ ContainerOverrides.Command.
يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.
يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.
أسئلة
ماذا يتيح batch:SubmitJob؟
يمكنه إرسال مهمة Batch بأمر متجاوِز وتشغيل حاوية بصلاحيات دور المهمة الخاص بها.
هل يستطيع batch:SubmitJob تصعيد الامتيازات وحده؟
نعم. إذا مُنح على مورد واسع بما يكفي فإنه يصل إلى وصول المسؤول دون أي إذن آخر.
كيف يتم كشف اختطاف دور تعريف مهمة Batch؟
راقب SubmitJob في CloudTrail. الاستدعاء صاخب في CloudTrail ويبرز عن النشاط الاعتيادي.
كيف تكسر هذا المسار؟
من الضوابط التي قد تزيله: قيّد batch:SubmitJob على قوائم انتظار/تعريفات المهام التي تحمل jobRoleArn مميزاً؛ وامنع ContainerOverrides.Command. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.
ما تقنية MITRE ATT&CK هذه؟
T1578، تعديل البنية التحتية للحوسبة السحابية، ضمن تكتيك تصعيد الامتيازات.
المسارات ذات الصلة
المراجع
اعثر على هذا في حسابك الخاص
نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.