English
Español
Français
Deutsch
日本語
한국어
العربيةمنح الذات صلاحية استدعاء Lambda عبر سياسة المورد
يمكنها إضافة نفسها إلى سياسة استدعاء الدالة وتشغيلها (تعمل بصفة دور التنفيذ).
يمنح التصعيد بمفرده.
lambda:AddPermissionبمفرده، يستطيع lambda:AddPermission إضافة نفسه إلى سياسة استدعاء دالة وتشغيلها (تعمل بصفة دور التنفيذ). وعلى نطاق موارد واسع فإن ذلك وحده يصل إلى وصول لمبدأ خارجي أو عام.
لماذا هو خطير
يمكن لكيان رئيسي أن يستدعي lambda:AddPermission على دالة مميزة لإضافة نفسه (أو حساب خارجي) إلى سياسة استدعاء الدالة، ثم يشغّلها. تُنفَّذ الدالة بصفة دور تنفيذها، لذا فإن استدعاءها هو تنفيذ كود بصفة ذلك الدور - الجائزة ليست الدالة بل الدور الذي تسلّمه وكل ما يمكن لذلك الدور الوصول إليه. يعيد المهاجم كتابة قفل الاستدعاء بدلاً من حمل منح استدعاء موجود.
من حيث مصطلحات MITRE ATT&CK، يُطابق هذا T1098، التلاعب بالحساب، ضمن تكتيك تصعيد الامتيازات. يسجّله AWS في CloudTrail باسم AddPermission. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة العادية، لذا يحتاج إلى قاعدة ليبرز.
الكشف
AddPermissionالمتطلبات المسبقة
lambda:AddPermission على الدالة. تفترض إساءة الاستخدام إضافةً إلى ذلك عدم وجود ضابط وقائي من SCP/حدود/PrincipalOrgID يمنع المنح المفرط، وأن استدعاء الدالة يسلّم فعلاً دور التنفيذ (تعليمات برمجية متأثرة بالمهاجم، أو تسريب الدالة لبيانات الاعتماد/المخرجات). أما الاستدعاء العادي لتعليمات برمجية موثوقة فلا يفعل ذلك.
MITRE ATT&CK
T1098 · التلاعب بالحساباتتكتيك
تصعيد الامتيازات
من الضوابط التي قد تزيله: قصر lambda:AddPermission على مالكي الدوال، مع رفض كتابات سياسة الاستدعاء عبر SCP، واشتراط aws:PrincipalOrgID / SourceArn على سياسات موارد الدالة، وتطبيق أقل امتياز على دور التنفيذ.
يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.
يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.
أسئلة
ماذا يتيح lambda:AddPermission؟
يمكنها إضافة نفسها إلى سياسة استدعاء الدالة وتشغيلها (تعمل بصفة دور التنفيذ).
هل يمكن لـ lambda:AddPermission تصعيد الامتيازات بمفرده؟
نعم. إذا مُنح على مورد واسع بما يكفي فإنه يصل إلى وصول لكيان خارجي أو عام دون أي إذن آخر.
كيف يتم كشف منح الذات استدعاء Lambda عبر سياسة الموارد؟
راقب AddPermission في CloudTrail. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة الاعتيادية، لذا يحتاج إلى قاعدة لكي يبرز.
كيف تكسر هذا المسار؟
من الضوابط التي قد تزيله: قصر lambda:AddPermission على مالكي الدوال؛ وارفض كتابات سياسة الاستدعاء عبر SCP؛ واشترط aws:PrincipalOrgID / SourceArn على سياسات موارد الدالة؛ وطبّق أقل امتياز على دور التنفيذ. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.
ما تقنية MITRE ATT&CK هذه؟
T1098، التلاعب بالحسابات، ضمن تكتيك تصعيد الامتيازات.
المسارات ذات الصلة
المراجع
اعثر على هذا في حسابك الخاص
نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.