English
Español
Français
Deutsch
日本語
한국어
العربيةاختطاف دور حزمة CloudFormation عبر مجموعة تغييرات
يمكنه تنفيذ مجموعة تغييرات خبيثة على حزمة بصلاحيات دور الخدمة الحالي الخاص بها.
يمنح التصعيد في التركيب فقط. كل ما يلي مطلوب معاً:
cloudformation:CreateChangeSetcloudformation:ExecuteChangeSetيمكن لـ cloudformation:ExecuteChangeSet تنفيذ مجموعة تغييرات خبيثة على مكدّس بصفة دور الخدمة الحالي الخاص به، لكن فقط عند امتلاكه مع cloudformation:CreateChangeSet. ومعاً يصلان إلى وصول المسؤول.
لماذا هو خطير
يمكن لكيان رئيسي أن يستدعي cloudformation:CreateChangeSet وcloudformation:ExecuteChangeSet على حزمة CloudFormation موجودة تحمل بالفعل دور الخدمة. وبتجهيز قالب معدّل كمجموعة تغييرات وتنفيذها، يجعل الكيان الرئيسي CloudFormation يطبّق تغييرات المهاجم باستخدام الدور المستهدف، دون الحاجة إلى iam:PassRole، لأن الدور المستهدف مرتبط بالفعل بالحزمة. ويعني دور الخدمة المميز أن قالب المهاجم يمكنه توفير موارد المسؤول: تصعيد كامل للامتيازات ضد حزمة كانت موثوقة بالفعل.
وفق مصطلحات MITRE ATT&CK، يقابل هذا T1578، تعديل بنية الحوسبة السحابية، ضمن تكتيك تصعيد الامتيازات. يسجّله AWS في CloudTrail باسم CreateChangeSet, ExecuteChangeSet. تظهر هذه العملية في CloudTrail لكنها تمتزج مع الإدارة الاعتيادية، لذا تحتاج إلى قاعدة لإبرازها.
الكشف
CreateChangeSetExecuteChangeSetالمتطلبات المسبقة
مكدس موجود مرفق به دور خدمة، وإذن لإنشاء مجموعة تغيير وتنفيذها عليه.
MITRE ATT&CK
T1578 · تعديل البنية التحتية للحوسبة السحابيةتكتيك
تصعيد الامتيازات
من الضوابط التي قد تزيله: تقييد cloudformation:CreateChangeSet/ExecuteChangeSet على المكدسات التي تحمل دور خدمة مميزاً.
يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.
يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.
أسئلة
ماذا يتيح cloudformation:ExecuteChangeSet؟
يمكنه تنفيذ مجموعة تغييرات خبيثة على حزمة بصلاحيات دور الخدمة الحالي الخاص بها.
ما الذي يلزم أيضاً لكي يصبح cloudformation:ExecuteChangeSet خطيراً؟
لا يصبح تصعيداً إلا عند امتلاكه مع cloudformation:CreateChangeSet. وحده لا يكفي، وهذا ما يجعل التركيبة سهلة التفويت.
كيف يتم كشف اختطاف دور مكدس CloudFormation عبر مجموعة تغييرات؟
راقب CreateChangeSet, ExecuteChangeSet في CloudTrail. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة الاعتيادية، لذا يحتاج إلى قاعدة لكي يبرز.
كيف تكسر هذا المسار؟
من الضوابط التي قد تزيله: قيّد cloudformation:CreateChangeSet/ExecuteChangeSet على الحزم (stacks) التي تحمل دور خدمة مميزاً. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.
ما تقنية MITRE ATT&CK هذه؟
T1578، تعديل البنية التحتية للحوسبة السحابية، ضمن تكتيك تصعيد الامتيازات.
المسارات ذات الصلة
المراجع
اعثر على هذا في حسابك الخاص
نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.