English
Español
Français
Deutsch
日本語
한국어
العربيةEin ECR-Image vergiften, das ein privilegierter Lambda/ECS-Workload ausführt
Kann ein bösartiges Image in ein Repo pushen, aus dem eine privilegierte Lambda-/ECS-Workload zieht, und so ihren nächsten Start vergiften.
Ermöglicht Eskalation für sich allein.
ecr:PutImageFür sich allein kann ecr:PutImage ein bösartiges Image in ein Repo übertragen, das ein privilegierter Lambda/ECS-Workload abruft, und dessen nächsten Start vergiften. Bei einem weiten Ressourcenbereich erreicht dies allein Zugriff für einen externen oder öffentlichen Principal.
Warum es gefährlich ist
Ein Principal kann ecr:PutImage aufrufen, um ein bösartiges Image in ein Repository zu pushen, aus dem die Workload des Repositorys zieht; beim nächsten Image-Pull der Workload läuft das Image des Angreifers als das Repository. Weil der Graph die aktuelle Bindung zeigt, nicht den künftigen Pull, ist dies ein spekulatives Artifact-Poisoning-Finding: Es greift, wenn der Consumer erneut zieht (ein ECS-Neustart auf einem veränderlichen Tag; ein Lambda-Redeploy).
In MITRE ATT&CK entspricht dies T1525, Implant Internal Image, unter der Taktik Persistence. AWS protokolliert dies in CloudTrail als PutImage. Der Aufruf erscheint in CloudTrail, geht aber in der normalen Administration unter, daher braucht es eine Regel, damit er auffällt. Er gibt einem Angreifer außerdem eine Möglichkeit, den Zugriff zu behalten, nachdem der erste Zugang geschlossen wurde, daher lohnt es sich, ihn zu beobachten, auch wenn er wie routinemäßige Administration aussieht.
Erkennung
PutImageVoraussetzungen
ecr:PutImage für ein Repository, dessen Image derzeit von einer privilegierten Lambda-Funktion oder einem ECS-Task ausgeführt wird; der Consumer muss erneut ziehen (veränderlicher Tag / Neustart), damit die Vergiftung wirksam wird.
MITRE ATT&CK
T1525 · Implant Internal ImageTaktik
Persistence
Eine Maßnahme, die ihn beseitigen würde: ecr:PutImage für dieses Repo beschränken; Consumer auf unveränderliche Digests festlegen; ECR-Tag-Unveränderlichkeit aktivieren; Images vor dem Deploy scannen.
Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrer Umgebung verwendet wird, daher ist es eine geschäftliche Entscheidung und keine automatische Behebung. Dieselbe Berechtigung kann in einem Konto tragend und in einem anderen reines Risiko sein.
Pathbreak bestätigt, ob dieser Pfad in Ihrem Konto auflösbar ist, stuft ihn gegenüber den anderen danach ein, wie viel er eröffnet, und nutzt Ihr Bedrohungsmodell und Ihren Geschäftskontext, um zu zeigen, welche Pfade es wert sind, unterbrochen zu werden.
Fragen
Was erlaubt ecr:PutImage?
Kann ein bösartiges Image in ein Repo pushen, aus dem eine privilegierte Lambda-/ECS-Workload zieht, und so ihren nächsten Start vergiften.
Kann ecr:PutImage allein Privilegien eskalieren?
Ja. Auf einer ausreichend breiten Ressource gehalten, erreicht sie ohne weitere Berechtigung Zugriff für einen externen oder öffentlichen Principal.
Wie wird das Vergiften eines ECR-Images, das ein privilegierter Lambda/ECS-Workload ausführt erkannt?
Achten Sie in CloudTrail auf PutImage. Der Aufruf erscheint in CloudTrail, geht aber in der normalen Administration unter, daher braucht es eine Regel, damit er auffällt.
Wie unterbricht man diesen Pfad?
Eine Maßnahme, die ihn beseitigen würde, ist: Beschränken Sie ecr:PutImage bei diesem Repo; binden Sie Consumer an unveränderliche Digests; aktivieren Sie ECR-Tag-Unveränderlichkeit; scannen Sie Images vor dem Deploy. Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrem Konto verwendet wird, es ist also eine geschäftliche Entscheidung und keine automatische Behebung.
Welche MITRE ATT&CK Technik ist das?
T1525, Implant Internal Image, unter der Taktik Persistence.
Verwandte Pfade
Referenzen
Finden Sie dies in Ihrem eigenen Konto
Wir führen einen schreibgeschützten Scan eines AWS-Kontos durch und zeigen Ihnen, welche dieser Pfade existieren, nach Blast-Radius priorisiert, mit der Änderung, die jeden einzelnen unterbricht. Erste validierte Pfade innerhalb der Stunde.