English
Español
Français
Deutsch
日本語
한국어
العربيةتسميم صورة ECR يشغّلها عبء عمل Lambda/ECS ذو امتيازات
يمكنه دفع صورة خبيثة إلى مستودع يسحب منه عبء عمل Lambda/ECS مميّز، ما يسمّم إطلاقه التالي.
يمنح التصعيد بمفرده.
ecr:PutImageبمفرده، يستطيع ecr:PutImage دفع صورة خبيثة إلى مستودع يسحب منه عبء عمل Lambda/ECS مميّز، مما يسمم إطلاقه التالي. وفي نطاق موارد واسع يكفي ذلك وحده للوصول إلى وصول جهة خارجية أو عامة.
لماذا هو خطير
يمكن لكيان رئيسي أن يستدعي ecr:PutImage لدفع صورة خبيثة إلى مستودع يسحب منه حمل عمل المستودع؛ وعند السحب التالي للصورة من قبل حمل العمل تعمل صورة المهاجم بصفة المستودع. ولأن الرسم البياني يُظهر الربط الحالي وليس السحب المستقبلي، فهذه نتيجة تسميم للمنتج النهائي قائمة على التخمين: تَعَضّ عندما يعيد المستهلك السحب (إعادة إطلاق ECS على وسم قابل للتغيير؛ إعادة نشر Lambda).
من حيث مصطلحات MITRE ATT&CK، يُطابق هذا T1525، زرع صورة داخلية، ضمن تكتيك الاستمرارية. يسجّله AWS في CloudTrail باسم PutImage. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة العادية، لذا يحتاج إلى قاعدة ليبرز. كما يمنح المهاجم وسيلة للاحتفاظ بالوصول بعد إغلاق الموطئ الأول، لذا يستحق المراقبة حتى عندما يبدو كإدارة روتينية.
الكشف
PutImageالمتطلبات المسبقة
ecr:PutImage على مستودع تُشغَّل صورته حالياً بواسطة دالة Lambda ذات امتيازات أو مهمة ECS؛ ويجب أن يعيد المستهلك السحب (علامة قابلة للتغيير / إعادة الإطلاق) لكي يصبح التسميم فعّالاً.
MITRE ATT&CK
T1525 · زرع صورة داخليةتكتيك
الاستمرارية
من الضوابط التي قد تزيله: تقييد ecr:PutImage على هذا المستودع، مع تثبيت المستهلكين على بصمات غير قابلة للتغيير، وتفعيل ثبات وسوم ECR، وفحص الصور قبل النشر.
يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.
يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.
أسئلة
ماذا يتيح ecr:PutImage؟
يمكنه دفع صورة خبيثة إلى مستودع يسحب منه عبء عمل Lambda/ECS مميّز، ما يسمّم إطلاقه التالي.
هل يمكن لـ ecr:PutImage تصعيد الامتيازات بمفرده؟
نعم. إذا مُنح على مورد واسع بما يكفي فإنه يصل إلى وصول لكيان خارجي أو عام دون أي إذن آخر.
كيف يتم كشف تسميم صورة ECR يشغّلها حمل عمل مميّز في Lambda/ECS؟
راقب PutImage في CloudTrail. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة الاعتيادية، لذا يحتاج إلى قاعدة لكي يبرز.
كيف تكسر هذا المسار؟
من الضوابط التي قد تزيله: قيّد ecr:PutImage على هذا المستودع؛ وثبّت المستهلكين على digests ثابتة؛ وفعّل ثبات وسوم ECR؛ وافحص الصور قبل النشر. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.
ما تقنية MITRE ATT&CK هذه؟
T1525، زرع صورة داخلية، ضمن تكتيك الاستمرارية.
المسارات ذات الصلة
المراجع
اعثر على هذا في حسابك الخاص
نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.