تصعيد الامتيازات EC2 T1578

اختطاف دور المثيل عبر Instance Connect

يمكنه دفع مفتاح SSH عبر Instance Connect وسرقة دور الجهاز.

يمنح التصعيد في التركيب فقط. كل ما يلي مطلوب معاً:

ec2-instance-connect:SendSSHPublicKeyec2:DescribeInstances
الخلاصة الأساسية

يمكن لـ ec2-instance-connect:SendSSHPublicKey دفع مفتاح SSH عبر Instance Connect وسرقة دور مثيل، لكن فقط عند امتلاكه مع ec2:DescribeInstances. ومعاً يصلان إلى وصول المسؤول.

SendSSHPublicKey runs as its role 01 Attacker principal 02 Existing compute 03 Its role 04 Administrator
كيف ينتقل المهاجم من هذا الإذن.
استكشف هذا في Pathbreak

لماذا هو خطير

يمكن لكيان رئيسي أن يستدعي ec2-instance-connect:SendSSHPublicKey لحقن مفتاح SSH مؤقت في مثيل قيد التشغيل يحمل بالفعل دور instance-profile، ثم يتصل عبر SSH عبر الشبكة ويقرأ بيانات اعتماد المثيل الحية من IMDS. ولأن المثيل مرتبط بالفعل بالجهاز، فإن الحصول على صدفة عليه يكفي لسرقة الدور، دون الحاجة إلى iam:PassRole. وخلافاً لـ SSM يتطلب هذا منفذ SSH (22) يمكن الوصول إليه على المثيل، لذا لا يعمل إلا حيث يوجد مسار شبكي؛ وإذا كان المثيل مميزاً فهذا تصعيد كامل للامتيازات ضد مثيل كان موثوقاً بالفعل.

وفق مصطلحات MITRE ATT&CK، يقابل هذا T1578، تعديل بنية الحوسبة السحابية، ضمن تكتيك تصعيد الامتيازات. يسجّله AWS في CloudTrail باسم SendSSHPublicKey, DescribeInstances. تظهر هذه العملية في CloudTrail لكنها تمتزج مع الإدارة الاعتيادية، لذا تحتاج إلى قاعدة لإبرازها.

الكشف

SendSSHPublicKeyDescribeInstances

المتطلبات المسبقة

نسخة قيد التشغيل موجودة تحمل ملف تعريف نسخة ويمكن الوصول إليها على منفذ SSH (22) من موقع المهاجم، وإذن ec2-instance-connect:SendSSHPublicKey. يُعدّد ec2:DescribeInstances الأهداف ويُتحقق منه مقابل حرف بدل. وخلافاً لـ SSM، لا يتجاوز Instance Connect مسار الشبكة أو مجموعات الأمان.

MITRE ATT&CK

T1578 · تعديل البنية التحتية للحوسبة السحابية

تكتيك

تصعيد الامتيازات

كسر المسار

من الضوابط التي قد تزيله: قصر ec2-instance-connect:SendSSHPublicKey على كيانات الطوارئ (break-glass)، مع إغلاق المنفذ الوارد 22 وتفضيل SSM Session Manager.

يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.

يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.

أسئلة

ماذا يتيح ec2-instance-connect:SendSSHPublicKey؟

يمكنه دفع مفتاح SSH عبر Instance Connect وسرقة دور الجهاز.

ما الذي يلزم أيضاً لكي يصبح ec2-instance-connect:SendSSHPublicKey خطيراً؟

لا يصبح تصعيداً إلا عند امتلاكه مع ec2:DescribeInstances. وحده لا يكفي، وهذا ما يجعل التركيبة سهلة التفويت.

كيف يتم كشف اختطاف دور المثيل عبر Instance Connect؟

راقب SendSSHPublicKey, DescribeInstances في CloudTrail. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة الاعتيادية، لذا يحتاج إلى قاعدة لكي يبرز.

كيف تكسر هذا المسار؟

من الضوابط التي قد تزيله: قصر ec2-instance-connect:SendSSHPublicKey على كيانات break-glass الرئيسية؛ وأغلق المنفذ الوارد 22 وفضّل SSM Session Manager. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.

ما تقنية MITRE ATT&CK هذه؟

T1578، تعديل البنية التحتية للحوسبة السحابية، ضمن تكتيك تصعيد الامتيازات.

المسارات ذات الصلة

الخدمة نفسهااختطاف user-data الخاص بـ EC2ec2:ModifyInstanceAttributeالخدمة نفسهاتمرير الدور إلى أسطول EC2iam:PassRoleالخدمة نفسهاتمرير الدور إلى مجموعة عُقد EKSiam:PassRoleالخدمة نفسهاحقن user-data في قالب إطلاق EC2ec2:CreateLaunchTemplateVersionالخدمة نفسهاتمرير الدور إلى مجموعة Auto Scalingiam:PassRoleالخدمة نفسهاتمرير الدور إلى EC2iam:PassRole

المراجع

اعثر على هذا في حسابك الخاص

نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.

اطلب فحصاً مجانياً شاهد الشرح الذي تبلغ مدته 7 دقائق