English
Español
Français
Deutsch
日本語
한국어
العربيةDétourner le rôle d'instance via Instance Connect
Peut pousser une clé SSH via Instance Connect et voler le rôle d'une instance.
N'accorde l'escalade qu'en combinaison. Tous ces éléments sont nécessaires ensemble :
ec2-instance-connect:SendSSHPublicKeyec2:DescribeInstancesec2-instance-connect:SendSSHPublicKey peut pousser une clé SSH via Instance Connect et voler le rôle d'une instance, mais uniquement lorsqu'elle est détenue conjointement avec ec2:DescribeInstances. Détenues ensemble, elles atteignent l'accès administrateur.
Pourquoi c'est dangereux
Un principal peut appeler ec2-instance-connect:SendSSHPublicKey pour injecter une clé SSH éphémère sur une instance en cours d'exécution qui porte déjà le rôle de profil d'instance, puis se connecter en SSH via le réseau et lire les identifiants actifs de l'instance depuis IMDS. Comme l'instance est déjà liée à la machine, un shell sur celle-ci suffit à voler le rôle, sans iam:PassRole. Contrairement à SSM, cela nécessite un port SSH (22) accessible sur l'instance, cela ne fonctionne donc que là où le chemin réseau existe ; si l'instance est privilégiée, il s'agit d'une escalade de privilèges complète contre une instance qui était déjà de confiance.
En termes MITRE ATT&CK, cela correspond à T1578, Modification de l'infrastructure de calcul cloud, dans la tactique escalade de privilèges. AWS l'enregistre dans CloudTrail sous SendSSHPublicKey, DescribeInstances. L'appel apparaît dans CloudTrail mais se fond dans l'administration normale, il lui faut donc une règle pour ressortir.
Détection
SendSSHPublicKeyDescribeInstancesPrérequis
Une instance en cours d'exécution existante portant un profil d'instance et joignable sur son port SSH (22) depuis la position de l'attaquant ; la permission ec2-instance-connect:SendSSHPublicKey. ec2:DescribeInstances énumère les cibles et est vérifié par rapport à un caractère générique. Instance Connect, contrairement à SSM, ne contourne PAS le chemin réseau ni les groupes de sécurité.
Tactique
Escalade de privilèges
Un contrôle qui le supprimerait : Restreindre ec2-instance-connect:SendSSHPublicKey aux principaux break-glass ; fermer le port entrant 22 et préférer SSM Session Manager.
La décision de l'appliquer dépend de la façon dont la permission est utilisée dans votre environnement, il s'agit donc d'une décision métier plutôt que d'un correctif automatique. La même permission peut être porteuse dans un compte et pur risque dans un autre.
Pathbreak confirme si ce chemin se résout dans votre compte, le classe par rapport aux autres selon l'ampleur de ce qu'il ouvre, et utilise votre modèle de menace et votre contexte métier pour montrer quels chemins valent la peine d'être coupés.
Questions
Que permet ec2-instance-connect:SendSSHPublicKey ?
Peut pousser une clé SSH via Instance Connect et voler le rôle d'une instance.
Que faut-il d'autre pour que ec2-instance-connect:SendSSHPublicKey soit dangereux ?
Cela ne devient une escalade que lorsqu'il est détenu conjointement avec ec2:DescribeInstances. À lui seul, il ne suffit pas, ce qui rend la combinaison facile à manquer.
Comment détecter le détournement du rôle d'instance via Instance Connect ?
Surveillez SendSSHPublicKey, DescribeInstances dans CloudTrail. Cet appel apparaît dans CloudTrail mais se fond dans l'administration normale, il faut donc une règle pour le faire ressortir.
Comment briser ce chemin ?
Un contrôle qui le supprimerait est : Limitez ec2-instance-connect:SendSSHPublicKey aux principaux d'urgence (break-glass) ; fermez le port entrant 22 et privilégiez SSM Session Manager. L'appliquer ou non dépend de la manière dont l'autorisation est utilisée dans votre compte, il s'agit donc d'une décision métier plutôt que d'un correctif automatique.
De quelle technique MITRE ATT&CK s'agit-il ?
T1578, Modification de l'infrastructure de calcul cloud, dans la tactique escalade de privilèges.
Chemins associés
Références
Trouvez ceci dans votre propre compte
Nous réalisons un scan en lecture seule d'un compte AWS et vous montrons lesquels de ces chemins existent, classés par rayon d'impact, avec le changement qui brise chacun d'eux. Premiers chemins validés en moins d'une heure.