English
Español
Français
Deutsch
日本語
한국어
العربيةاختطاف دور المثيل المستهدف في CodeDeploy
يمكنه نشر مراجعة خبيثة وتشغيل سكربت بصلاحيات دور الأجهزة المستهدفة.
يمنح التصعيد في التركيب فقط. كل ما يلي مطلوب معاً:
codedeploy:CreateDeploymentcodedeploy:RegisterApplicationRevisionيمكن لـ codedeploy:CreateDeployment نشر مراجعة خبيثة وتشغيل برنامج نصي بصفة دور المثيلات المستهدفة، لكن فقط عند امتلاكه مع codedeploy:RegisterApplicationRevision. ومعاً يصلان إلى وصول المسؤول.
لماذا هو خطير
يمكن لكيان رئيسي أن يستدعي codedeploy:CreateDeployment على مجموعة نشر موجودة تحمل مثيلات EC2 المستهدفة فيها بالفعل دور instance-profile، فينشر إصداراً يشغّل خطاف دورة حياة appspec.yml فيه سكربت صدفة للمهاجم بصلاحيات root على تلك المثيلات. يقرأ السكربت بيانات اعتماد المجموعة الحية من IMDS، دون الحاجة إلى iam:PassRole، لأن المجموعة مرتبطة بالفعل بالأجهزة. وإذا كانت المجموعة مميزة فهذا تصعيد كامل للامتيازات ضد مثيلات كانت موثوقة بالفعل.
وفق مصطلحات MITRE ATT&CK، يقابل هذا T1578، تعديل بنية الحوسبة السحابية، ضمن تكتيك تصعيد الامتيازات. يسجّله AWS في CloudTrail باسم CreateDeployment, RegisterApplicationRevision. هذه العملية واضحة في CloudTrail وتبرز عن النشاط الاعتيادي.
الكشف
CreateDeploymentRegisterApplicationRevisionالمتطلبات المسبقة
مجموعة نشر موجودة تستهدف نسخ EC2 ذات ملف تعريف نسخة، ووكيل CodeDeploy يعمل عليها، ودلو S3 لتجهيز المراجعة، وإذن لإنشاء نشر. يجب أن يُسمح بخطّافات دورة حياة appspec (وهو الوضع الافتراضي).
MITRE ATT&CK
T1578 · تعديل البنية التحتية للحوسبة السحابيةتكتيك
تصعيد الامتيازات
من الضوابط التي قد تزيله: تقييد codedeploy:CreateDeployment على مجموعات النشر التي تحمل مثيلاتها المستهدفة ملف تعريف مثيل مميزاً، مع مراجعة خطافات دورة الحياة في appspec.
يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.
يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.
أسئلة
ماذا يتيح codedeploy:CreateDeployment؟
يمكنه نشر مراجعة خبيثة وتشغيل سكربت بصلاحيات دور الأجهزة المستهدفة.
ما الذي يلزم أيضاً لكي يصبح codedeploy:CreateDeployment خطيراً؟
لا يصبح تصعيداً إلا عند امتلاكه مع codedeploy:RegisterApplicationRevision. وحده لا يكفي، وهذا ما يجعل التركيبة سهلة التفويت.
كيف يتم كشف اختطاف دور مثيل هدف CodeDeploy؟
راقب CreateDeployment, RegisterApplicationRevision في CloudTrail. الاستدعاء صاخب في CloudTrail ويبرز عن النشاط الاعتيادي.
كيف تكسر هذا المسار؟
من الضوابط التي قد تزيله: قيّد codedeploy:CreateDeployment على مجموعات النشر التي تحمل مثيلاتها المستهدفة ملف تعريف instance مميزاً؛ وراجع خطافات دورة حياة appspec. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.
ما تقنية MITRE ATT&CK هذه؟
T1578، تعديل البنية التحتية للحوسبة السحابية، ضمن تكتيك تصعيد الامتيازات.
المسارات ذات الصلة
المراجع
اعثر على هذا في حسابك الخاص
نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.