تصعيد الامتيازات Lambda T1578

اختطاف تعليمات دالة Lambda البرمجية

يمكنه الكتابة فوق شيفرة دالة وتشغيلها بصلاحيات دور التنفيذ الخاص بها.

يمنح التصعيد بمفرده.

lambda:UpdateFunctionCode
الخلاصة الأساسية

بمفرده، يستطيع lambda:UpdateFunctionCode الكتابة فوق كود دالة وتشغيلها بصفة دور تنفيذها. وعلى نطاق موارد واسع فإن ذلك وحده يصل إلى وصول المسؤول.

UpdateFunctionCode runs as its role 01 Attacker principal 02 Existing compute 03 Its role 04 Administrator
كيف ينتقل المهاجم من هذا الإذن.
استكشف هذا في Pathbreak

لماذا هو خطير

يمكن لكيان رئيسي أن يستدعي lambda:UpdateFunctionCode على دالة موجودة تعمل بصفة الدالة، فيكتب فوق حزمة نشر الدالة بكود يتحكم فيه المهاجم. وعند الاستدعاء التالي يُنفَّذ ذلك الكود بأذونات الدالة ويقرأ بيانات اعتماد الدالة الحية من بيئة تشغيل Lambda، دون الحاجة إلى iam:PassRole، لأن الدالة مرتبطة بالفعل بالدالة. وإذا كانت الدالة مميزة فهذا تصعيد كامل للامتيازات ضد دالة كانت موثوقة بالفعل.

وفق مصطلحات MITRE ATT&CK، يقابل هذا T1578، تعديل بنية الحوسبة السحابية، ضمن تكتيك تصعيد الامتيازات. يسجّله AWS في CloudTrail باسم UpdateFunctionCode20150331v2, UpdateFunctionCode. هذه العملية واضحة في CloudTrail وتبرز عن النشاط الاعتيادي.

الكشف

UpdateFunctionCode20150331v2UpdateFunctionCode

المتطلبات المسبقة

دالة Lambda موجودة مع دور تنفيذ، وإذن لتحديث شفرتها. يحدث التنفيذ عند التشغيل التالي (أو استدعاء يستطيع المهاجم إحداثه)، ولا يلزم إذن استدعاء منفصل لسرقة بيانات اعتماد الدور نفسها.

MITRE ATT&CK

T1578 · تعديل البنية التحتية للحوسبة السحابية

تكتيك

تصعيد الامتيازات

كسر المسار

من الضوابط التي قد تزيله: قصر lambda:UpdateFunctionCode على كيانات CI/CD، مع تقليل أذونات دور تنفيذ الدالة.

يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.

يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.

أسئلة

ماذا يتيح lambda:UpdateFunctionCode؟

يمكنه الكتابة فوق شيفرة دالة وتشغيلها بصلاحيات دور التنفيذ الخاص بها.

هل يمكن لـ lambda:UpdateFunctionCode تصعيد الامتيازات بمفرده؟

نعم. إذا مُنح على مورد واسع بما يكفي فإنه يصل إلى وصول المسؤول دون أي إذن آخر.

كيف يتم كشف اختطاف كود دالة Lambda؟

راقب UpdateFunctionCode20150331v2, UpdateFunctionCode في CloudTrail. الاستدعاء صاخب في CloudTrail ويبرز عن النشاط الاعتيادي.

كيف تكسر هذا المسار؟

من الضوابط التي قد تزيله: قصر lambda:UpdateFunctionCode على كيانات CI/CD الرئيسية؛ وقلّل أذونات دور تنفيذ الدالة. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.

ما تقنية MITRE ATT&CK هذه؟

T1578، تعديل البنية التحتية للحوسبة السحابية، ضمن تكتيك تصعيد الامتيازات.

المسارات ذات الصلة

الخدمة نفسهااختطاف إعداد دالة Lambdalambda:UpdateFunctionConfigurationالخدمة نفسهاتمرير الدور إلى Lambdaiam:PassRoleالخدمة نفسهااستدعاء Lambda (التشغيل بدوره)lambda:InvokeFunctionالتقنية نفسهااختطاف user-data الخاص بـ EC2ec2:ModifyInstanceAttributeالتقنية نفسهااختطاف دور حزمة CloudFormationcloudformation:UpdateStackالتقنية نفسهااختطاف دور حزمة CloudFormation عبر مجموعة تغييراتcloudformation:ExecuteChangeSet

المراجع

اعثر على هذا في حسابك الخاص

نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.

اطلب فحصاً مجانياً شاهد الشرح الذي تبلغ مدته 7 دقائق