English
Español
Français
Deutsch
日本語
한국어
العربيةEnvenenar una imagen de ECR que ejecuta una carga de trabajo privilegiada de Lambda/ECS
Puede subir una imagen maliciosa a un repositorio del que extrae una carga de trabajo privilegiada de Lambda/ECS, envenenando su siguiente lanzamiento.
Concede escalada por sí solo.
ecr:PutImagePor sí solo, ecr:PutImage puede subir una imagen maliciosa a un repositorio del que descarga una carga de trabajo privilegiada de Lambda/ECS, envenenando su siguiente lanzamiento. Con un alcance de recursos amplio, eso por sí solo llega a acceso para un principal externo o público.
Por qué es peligroso
Un principal puede llamar a ecr:PutImage para enviar una imagen maliciosa a un repositorio del que tira la carga de trabajo del repositorio; en la siguiente descarga de imagen de la carga de trabajo, la imagen del atacante se ejecuta con el rol de esa carga de trabajo. Como el grafo muestra el vínculo actual y no la descarga futura, este es un hallazgo especulativo de envenenamiento de artefactos: tiene efecto cuando el consumidor vuelve a descargar la imagen (un relanzamiento de ECS con una etiqueta mutable, un redespliegue de Lambda).
En términos de MITRE ATT&CK, esto corresponde a T1525, Implantar imagen interna, bajo la táctica de persistencia. AWS lo registra en CloudTrail como PutImage. La llamada aparece en CloudTrail pero se confunde con la administración normal, así que necesita una regla para destacar. También ofrece a un atacante una forma de mantener el acceso después de que se cierre el primer punto de apoyo, así que merece la pena vigilarla incluso cuando parece administración rutinaria.
Detección
PutImageRequisitos previos
ecr:PutImage sobre un repositorio cuya imagen ejecuta actualmente una función Lambda o una tarea de ECS con privilegios; el consumidor debe volver a descargarla (etiqueta mutable o nuevo lanzamiento) para que el envenenamiento surta efecto.
MITRE ATT&CK
T1525 · Implantar imagen internaTáctica
Persistencia
Un control que lo eliminaría: Restringe ecr:PutImage en este repositorio; fija los consumidores a digests inmutables; activa la inmutabilidad de etiquetas de ECR; escanea las imágenes antes de desplegarlas.
Aplicarla o no depende de cómo se use el permiso en tu entorno, así que es una decisión de negocio y no una corrección automática. El mismo permiso puede ser imprescindible en una cuenta y puro riesgo en otra.
Pathbreak confirma si esta ruta se resuelve en tu cuenta, la clasifica frente a las demás según cuánto abre y usa tu modelo de amenazas y tu contexto de negocio para mostrar qué rutas merece la pena cortar.
Preguntas
¿Qué permite ecr:PutImage?
Puede subir una imagen maliciosa a un repositorio del que extrae una carga de trabajo privilegiada de Lambda/ECS, envenenando su siguiente lanzamiento.
¿Puede ecr:PutImage escalar privilegios por sí solo?
Sí. Concedido sobre un recurso lo bastante amplio, llega a acceso para un principal externo o público sin ningún otro permiso.
¿Cómo se detecta el envenenamiento de una imagen de ECR que ejecuta una carga de trabajo privilegiada de Lambda/ECS?
Vigila PutImage en CloudTrail. La llamada aparece en CloudTrail pero se confunde con la administración normal, así que necesita una regla para destacar.
¿Cómo se rompe esta ruta?
Un control que lo eliminaría es: Restringe ecr:PutImage en este repositorio; fija a los consumidores a digests inmutables; activa la inmutabilidad de etiquetas de ECR; escanea las imágenes antes de desplegar. Aplicarla o no depende de cómo se use el permiso en tu cuenta, así que es una decisión de negocio y no una corrección automática.
¿De qué técnica de MITRE ATT&CK se trata?
T1525, Implantar imagen interna, en la táctica de persistencia.
Rutas relacionadas
Referencias
Encuéntralo en tu propia cuenta
Ejecutamos un escaneo de solo lectura de una cuenta de AWS y te mostramos cuáles de estas rutas existen, ordenadas por radio de impacto, con el cambio que rompe cada una. Primeras rutas validadas en menos de una hora.