English
Español
Français
Deutsch
日本語
한국어
العربيةEC2-User-Data kapern
Kann die user-data einer Instanz umschreiben und Code als ihre Instanzprofil-Rolle ausführen.
Ermöglicht Eskalation nur in Kombination. All diese sind zusammen erforderlich:
ec2:ModifyInstanceAttributeec2:StartInstancesec2:StopInstancesec2:ModifyInstanceAttribute kann die User-Data einer Instanz umschreiben und Code als deren Instanzprofil-Rolle ausführen, aber nur, wenn sie zusammen mit ec2:StartInstances, ec2:StopInstances gehalten wird. Gemeinsam gehalten erreichen sie Administratorzugriff.
Warum es gefährlich ist
Ein Principal kann die Instanz stoppen, ihre user-data mit ec2:ModifyInstanceAttribute umschreiben und sie wieder starten; beim Boot führt die Instanz das user-data-Skript des Angreifers als ihre bereits angehängte Instanzprofil-Rolle aus, ohne iam:PassRole. Ein privilegiertes Instanzprofil bedeutet beliebige Code-Ausführung als diese Rolle: vollständige Privilege Escalation gegen eine Maschine, der bereits vertraut wurde.
In MITRE ATT&CK entspricht dies T1578, Modify Cloud Compute Infrastructure, unter der Taktik Privilege Escalation. AWS protokolliert dies in CloudTrail als ModifyInstanceAttribute, StopInstances, StartInstances. Der Aufruf ist in CloudTrail gut sichtbar und hebt sich von normaler Aktivität ab.
Erkennung
ModifyInstanceAttributeStopInstancesStartInstancesVoraussetzungen
Eine bestehende Instanz mit einem Instance Profile; Berechtigung, sie zu stoppen/zu ändern/zu starten.
MITRE ATT&CK
T1578 · Modify Cloud Compute InfrastructureTaktik
Privilege Escalation
Eine Maßnahme, die ihn beseitigen würde: ec2:ModifyInstanceAttribute bei Instanzen mit angehängten Instanzprofilen beschränken.
Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrer Umgebung verwendet wird, daher ist es eine geschäftliche Entscheidung und keine automatische Behebung. Dieselbe Berechtigung kann in einem Konto tragend und in einem anderen reines Risiko sein.
Pathbreak bestätigt, ob dieser Pfad in Ihrem Konto auflösbar ist, stuft ihn gegenüber den anderen danach ein, wie viel er eröffnet, und nutzt Ihr Bedrohungsmodell und Ihren Geschäftskontext, um zu zeigen, welche Pfade es wert sind, unterbrochen zu werden.
Fragen
Was erlaubt ec2:ModifyInstanceAttribute?
Kann die user-data einer Instanz umschreiben und Code als ihre Instanzprofil-Rolle ausführen.
Was ist außerdem nötig, damit ec2:ModifyInstanceAttribute gefährlich ist?
Es wird erst zur Eskalation, wenn es mit ec2:StartInstances, ec2:StopInstances kombiniert wird. Für sich allein reicht es nicht aus, was die Kombination leicht übersehbar macht.
Wie wird das Kapern von EC2-User-Data erkannt?
Achten Sie in CloudTrail auf ModifyInstanceAttribute, StopInstances, StartInstances. Der Aufruf ist in CloudTrail laut und hebt sich von der normalen Aktivität ab.
Wie unterbricht man diesen Pfad?
Eine Maßnahme, die ihn beseitigen würde, ist: Beschränken Sie ec2:ModifyInstanceAttribute bei Instanzen mit angehängten Instanzprofilen. Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrem Konto verwendet wird, es ist also eine geschäftliche Entscheidung und keine automatische Behebung.
Welche MITRE ATT&CK Technik ist das?
T1578, Modify Cloud Compute Infrastructure, unter der Taktik Privilege Escalation.
Verwandte Pfade
Referenzen
Finden Sie dies in Ihrem eigenen Konto
Wir führen einen schreibgeschützten Scan eines AWS-Kontos durch und zeigen Ihnen, welche dieser Pfade existieren, nach Blast-Radius priorisiert, mit der Änderung, die jeden einzelnen unterbricht. Erste validierte Pfade innerhalb der Stunde.