تصعيد الامتيازات Lambda T1578

اختطاف إعداد دالة Lambda

يمكنها إرفاق طبقة خبيثة بدالة وتشغيل الشفرة بصفة دور تنفيذها.

يمنح التصعيد بمفرده.

lambda:UpdateFunctionConfiguration
الخلاصة الأساسية

بمفرده، يستطيع lambda:UpdateFunctionConfiguration إرفاق طبقة خبيثة بدالة وتشغيل الكود بصفة دور تنفيذها. وعلى نطاق موارد واسع فإن ذلك وحده يصل إلى وصول المسؤول.

UpdateFunctionConfiguration runs as its role 01 Attacker principal 02 Existing compute 03 Its role 04 Administrator
كيف ينتقل المهاجم من هذا الإذن.
استكشف هذا في Pathbreak

لماذا هو خطير

يمكن لكيان رئيسي أن يستدعي lambda:UpdateFunctionConfiguration على دالة موجودة تعمل بصفة الدالة، فيرفق طبقة Lambda يتحكم فيها المهاجم (أو يغيّر وقت التشغيل أو المعالج أو البيئة) بحيث يُحمّل كود المهاجم عند الاستدعاء التالي، دون الكتابة فوق كود الدالة المنشور. يُنفَّذ ذلك الكود بأذونات الدالة ويقرأ بيانات اعتماد الدالة الحية من بيئة تشغيل Lambda، دون الحاجة إلى iam:PassRole، لأن الدالة مرتبطة بالفعل بالدالة. وإذا كانت الدالة مميزة فهذا تصعيد كامل للامتيازات ضد دالة كانت موثوقة بالفعل.

وفق مصطلحات MITRE ATT&CK، يقابل هذا T1578، تعديل بنية الحوسبة السحابية، ضمن تكتيك تصعيد الامتيازات. يسجّله AWS في CloudTrail باسم UpdateFunctionConfiguration20150331v2, UpdateFunctionConfiguration. تظهر هذه العملية في CloudTrail لكنها تمتزج مع الإدارة الاعتيادية، لذا تحتاج إلى قاعدة لإبرازها.

الكشف

UpdateFunctionConfiguration20150331v2UpdateFunctionConfiguration

المتطلبات المسبقة

دالة Lambda موجودة مع دور تنفيذ، وإذن لتحديث إعدادها. يحدث التنفيذ عند التشغيل التالي (أو استدعاء يستطيع المهاجم إحداثه)، وتغيير الطبقة أو بيئة التشغيل هو الكتابة الوحيدة اللازمة.

MITRE ATT&CK

T1578 · تعديل البنية التحتية للحوسبة السحابية

تكتيك

تصعيد الامتيازات

كسر المسار

من الضوابط التي قد تزيله: قصر lambda:UpdateFunctionConfiguration على كيانات CI/CD، مع تقليل أذونات دور تنفيذ الدالة.

يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.

يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.

أسئلة

ماذا يتيح lambda:UpdateFunctionConfiguration؟

يمكنها إرفاق طبقة خبيثة بدالة وتشغيل الشفرة بصفة دور تنفيذها.

هل يمكن لـ lambda:UpdateFunctionConfiguration تصعيد الامتيازات بمفرده؟

نعم. إذا مُنح على مورد واسع بما يكفي فإنه يصل إلى وصول المسؤول دون أي إذن آخر.

كيف يتم كشف اختطاف إعداد دالة Lambda؟

راقب UpdateFunctionConfiguration20150331v2, UpdateFunctionConfiguration في CloudTrail. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة الاعتيادية، لذا يحتاج إلى قاعدة لكي يبرز.

كيف تكسر هذا المسار؟

من الضوابط التي قد تزيله: قصر lambda:UpdateFunctionConfiguration على كيانات CI/CD الرئيسية؛ وقلّل أذونات دور تنفيذ الدالة. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.

ما تقنية MITRE ATT&CK هذه؟

T1578، تعديل البنية التحتية للحوسبة السحابية، ضمن تكتيك تصعيد الامتيازات.

المسارات ذات الصلة

الخدمة نفسهااختطاف تعليمات دالة Lambda البرمجيةlambda:UpdateFunctionCodeالخدمة نفسهاتمرير الدور إلى Lambdaiam:PassRoleالخدمة نفسهااستدعاء Lambda (التشغيل بدوره)lambda:InvokeFunctionالتقنية نفسهااختطاف user-data الخاص بـ EC2ec2:ModifyInstanceAttributeالتقنية نفسهااختطاف دور حزمة CloudFormationcloudformation:UpdateStackالتقنية نفسهااختطاف دور حزمة CloudFormation عبر مجموعة تغييراتcloudformation:ExecuteChangeSet

المراجع

اعثر على هذا في حسابك الخاص

نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.

اطلب فحصاً مجانياً شاهد الشرح الذي تبلغ مدته 7 دقائق