English
Español
Français
Deutsch
日本語
한국어
العربيةUser-Data in EC2-Launch-Template einschleusen
Kann user-data in ein Launch-Template einschleusen und läuft beim nächsten Start als dessen Rolle.
Ermöglicht Eskalation nur in Kombination. All diese sind zusammen erforderlich:
ec2:CreateLaunchTemplateVersionec2:ModifyLaunchTemplateec2:CreateLaunchTemplateVersion kann User-Data in ein Launch-Template einschleusen und beim nächsten Start als dessen Rolle ausführen, aber nur, wenn sie zusammen mit ec2:ModifyLaunchTemplate gehalten wird. Gemeinsam gehalten erreichen sie Administratorzugriff.
Warum es gefährlich ist
Ein Principal kann ec2:CreateLaunchTemplateVersion aufrufen, um eine neue Version eines bestehenden Launch-Templates mit vom Angreifer kontrollierten user-data zu veröffentlichen, und dann ec2:ModifyLaunchTemplate, um diese Version als Standard festzulegen, ohne iam:PassRole. Das Template referenziert bereits die Instanzprofil-Rolle, sodass jede Instanz, die später daraus gestartet wird (eine Auto-Scaling-Gruppe, die hochskaliert, ein Fleet-Refresh oder ein manuelles RunInstances), die user-data des Angreifers bootet und als Zielrolle ausführt und dabei die Anmeldeinformationen der Zielrolle über IMDS preisgibt. Ist die Zielrolle privilegiert, ist dies eine vollständige Privilege Escalation gegen ein Template, dem bereits vertraut wurde. HINWEIS: Die Ausführung wird auf einen künftigen Start aus dem Template VERSCHOBEN.
In MITRE ATT&CK entspricht dies T1578, Modify Cloud Compute Infrastructure, unter der Taktik Privilege Escalation. AWS protokolliert dies in CloudTrail als CreateLaunchTemplateVersion, ModifyLaunchTemplate. Der Aufruf ist in CloudTrail gut sichtbar und hebt sich von normaler Aktivität ab.
Erkennung
CreateLaunchTemplateVersionModifyLaunchTemplateVoraussetzungen
Ein bestehendes Launch Template, das auf eine Instance-Profile-Rolle verweist; Berechtigung, eine neue Template-Version zu erstellen und die Standardversion des Templates zu ändern. Die Ausführung ist VERZÖGERT: Die Rolle wird erst kontrolliert, sobald eine Instanz aus dem Template gestartet wird (z. B. durch eine Auto Scaling Group).
MITRE ATT&CK
T1578 · Modify Cloud Compute InfrastructureTaktik
Privilege Escalation
Eine Maßnahme, die ihn beseitigen würde: ec2:CreateLaunchTemplateVersion und ec2:ModifyLaunchTemplate bei Launch-Templates beschränken, die eine privilegierte Instanzprofil-Rolle referenzieren; unveränderliche/versionskontrollierte Templates bevorzugen.
Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrer Umgebung verwendet wird, daher ist es eine geschäftliche Entscheidung und keine automatische Behebung. Dieselbe Berechtigung kann in einem Konto tragend und in einem anderen reines Risiko sein.
Pathbreak bestätigt, ob dieser Pfad in Ihrem Konto auflösbar ist, stuft ihn gegenüber den anderen danach ein, wie viel er eröffnet, und nutzt Ihr Bedrohungsmodell und Ihren Geschäftskontext, um zu zeigen, welche Pfade es wert sind, unterbrochen zu werden.
Fragen
Was erlaubt ec2:CreateLaunchTemplateVersion?
Kann user-data in ein Launch-Template einschleusen und läuft beim nächsten Start als dessen Rolle.
Was ist außerdem nötig, damit ec2:CreateLaunchTemplateVersion gefährlich ist?
Es wird erst zur Eskalation, wenn es mit ec2:ModifyLaunchTemplate kombiniert wird. Für sich allein reicht es nicht aus, was die Kombination leicht übersehbar macht.
Wie wird das Einschleusen von User-Data in eine EC2-Launch-Template erkannt?
Achten Sie in CloudTrail auf CreateLaunchTemplateVersion, ModifyLaunchTemplate. Der Aufruf ist in CloudTrail laut und hebt sich von der normalen Aktivität ab.
Wie unterbricht man diesen Pfad?
Eine Maßnahme, die ihn beseitigen würde, ist: Beschränken Sie ec2:CreateLaunchTemplateVersion und ec2:ModifyLaunchTemplate bei Launch-Templates, die eine privilegierte Instanzprofil-Rolle referenzieren; bevorzugen Sie unveränderliche/versionskontrollierte Templates. Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrem Konto verwendet wird, es ist also eine geschäftliche Entscheidung und keine automatische Behebung.
Welche MITRE ATT&CK Technik ist das?
T1578, Modify Cloud Compute Infrastructure, unter der Taktik Privilege Escalation.
Verwandte Pfade
Referenzen
Finden Sie dies in Ihrem eigenen Konto
Wir führen einen schreibgeschützten Scan eines AWS-Kontos durch und zeigen Ihnen, welche dieser Pfade existieren, nach Blast-Radius priorisiert, mit der Änderung, die jeden einzelnen unterbricht. Erste validierte Pfade innerhalb der Stunde.