English
Español
Français
Deutsch
日本語
한국어
العربيةاختطاف user-data الخاص بـ EC2
يمكنه إعادة كتابة user-data لجهاز وتشغيل شيفرة بصلاحيات دور ملف تعريف الجهاز الخاص به.
يمنح التصعيد في التركيب فقط. كل ما يلي مطلوب معاً:
ec2:ModifyInstanceAttributeec2:StartInstancesec2:StopInstancesيمكن لـ ec2:ModifyInstanceAttribute إعادة كتابة user-data لمثيل وتشغيل التعليمات البرمجية بصفة دور ملف تعريف المثيل الخاص به، لكن فقط عند امتلاكه مع ec2:StartInstances وec2:StopInstances. ومعاً يصلان إلى وصول المسؤول.
لماذا هو خطير
يمكن لجهة أساسية إيقاف النسخة، وإعادة كتابة user-data الخاصة بها عبر ec2:ModifyInstanceAttribute، وتشغيلها مجدداً، وعند الإقلاع تشغّل النسخة برنامج user-data الخاص بالمهاجم بصفة دور ملف تعريف النسخة المرفق أصلاً، دون حاجة إلى iam:PassRole. ملف تعريف نسخة ذو امتياز يعني تنفيذ تعليمات برمجية عشوائية بصفة ذلك الدور، أي تصعيد كامل للامتيازات ضد جهاز كان موثوقاً أصلاً.
وفق مصطلحات MITRE ATT&CK، يقابل هذا T1578، تعديل بنية الحوسبة السحابية، ضمن تكتيك تصعيد الامتيازات. يسجّله AWS في CloudTrail باسم ModifyInstanceAttribute, StopInstances, StartInstances. هذه العملية واضحة في CloudTrail وتبرز عن النشاط الاعتيادي.
الكشف
ModifyInstanceAttributeStopInstancesStartInstancesالمتطلبات المسبقة
نسخة موجودة مع ملف تعريف نسخة، وإذن لإيقافها/تعديلها/تشغيلها.
MITRE ATT&CK
T1578 · تعديل البنية التحتية للحوسبة السحابيةتكتيك
تصعيد الامتيازات
من الضوابط التي قد تزيله: تقييد ec2:ModifyInstanceAttribute على المثيلات التي تحمل ملفات تعريف مثيلات مرفقة.
يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.
يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.
أسئلة
ماذا يتيح ec2:ModifyInstanceAttribute؟
يمكنه إعادة كتابة user-data لجهاز وتشغيل شيفرة بصلاحيات دور ملف تعريف الجهاز الخاص به.
ما الذي يلزم أيضاً لكي يصبح ec2:ModifyInstanceAttribute خطيراً؟
لا يصبح تصعيداً إلا عند امتلاكه مع ec2:StartInstances, ec2:StopInstances. وحده لا يكفي، وهذا ما يجعل التركيبة سهلة التفويت.
كيف يتم كشف اختطاف user-data في EC2؟
راقب ModifyInstanceAttribute, StopInstances, StartInstances في CloudTrail. الاستدعاء صاخب في CloudTrail ويبرز عن النشاط الاعتيادي.
كيف تكسر هذا المسار؟
من الضوابط التي قد تزيله: قيّد ec2:ModifyInstanceAttribute على المثيلات التي لها ملفات تعريف instance مرفقة. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.
ما تقنية MITRE ATT&CK هذه؟
T1578، تعديل البنية التحتية للحوسبة السحابية، ضمن تكتيك تصعيد الامتيازات.
المسارات ذات الصلة
المراجع
اعثر على هذا في حسابك الخاص
نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.