WhoAMI आक्रमण

साइबर सुरक्षा अनुसन्धानकर्ताहरूले 'whoAMI' नामक एउटा नयाँ नामको भ्रम आक्रमण पत्ता लगाएका छन्। यो आक्रमणले खतरा अभिनेताहरूलाई अमेजन वेब सेवाहरू (AWS) खाताहरू भित्र एक विशिष्ट नामको साथ अमेजन मेसिन छवि (AMI) प्रकाशित गरेर कोड कार्यान्वयन गर्न सक्षम बनाउँछ। यो जोखिमको महत्त्वपूर्ण प्रभावहरू छन्, किनकि यसले हजारौं AWS खाताहरूमा अनधिकृत पहुँचलाई अनुमति दिन सक्छ।

गलत कन्फिगर गरिएका AMI खोजहरूको शोषण गर्दै

यस आक्रमणको मूल कारण आपूर्ति श्रृंखला हेरफेर रणनीति हो। यसमा धम्कीपूर्ण AMI तैनाथ गर्नु र वैध संस्करणको सट्टा गलत कन्फिगर गरिएको सफ्टवेयर प्रयोग गर्न धोका दिनु समावेश छ। यो जोखिम निजी र खुला-स्रोत कोड भण्डार दुवैमा उपस्थित छ, जसले यसलाई व्यापक चिन्ताको विषय बनाउँछ।

आक्रमण कसरी काम गर्छ

AWS ले जो कोहीलाई पनि AMI हरू प्रकाशित गर्न अनुमति दिन्छ, जुन इलास्टिक कम्प्युट क्लाउड (EC2) उदाहरणहरू सुरु गर्न प्रयोग गरिने भर्चुअल मेसिन छविहरू हुन्। आक्रमणले विकासकर्ताहरूले ec2:DescribeImages API प्रयोग गरेर AMI खोज्दा --owners विशेषता निर्दिष्ट गर्न बेवास्ता गर्न सक्ने तथ्यको फाइदा उठाउँछ।

यो आक्रमण सफल हुनको लागि, निम्न सर्तहरू पूरा गर्नुपर्छ:

• AMI खोज नाम फिल्टरमा निर्भर गर्दछ।
• खोजले मालिक, मालिक-उपनाम, वा मालिक-आईडी प्यारामिटरहरू निर्दिष्ट गर्दैन।
• अनुरोधले सबैभन्दा भर्खरै सिर्जना गरिएको छवि (most_recent=true) ल्याउँछ।

जब यी अवस्थाहरू मिल्छन्, आक्रमणकारीले लक्ष्यको खोज ढाँचासँग मिल्ने नाम भएको धोखाधडी AMI सिर्जना गर्न सक्छ। फलस्वरूप, आक्रमणकारीको सम्झौता गरिएको AMI प्रयोग गरेर EC2 उदाहरण सुरु गरिन्छ, रिमोट कोड कार्यान्वयन (RCE) क्षमताहरू प्रदान गर्दछ र शोषण पछिका गतिविधिहरू सक्षम गर्दछ।

निर्भरता भ्रम आक्रमणहरूसँग समानताहरू

यो आक्रमणले निर्भरता भ्रम शोषणसँग समानता राख्छ, जहाँ असुरक्षित सफ्टवेयर निर्भरताहरू (जस्तै pip प्याकेज) ले वैध निर्भरताहरूलाई प्रतिस्थापन गर्दछ। यद्यपि, whoAMI आक्रमणमा, सम्झौता गरिएको स्रोत सफ्टवेयर निर्भरताको सट्टा भर्चुअल मेसिन छवि हो।

अमेजनको प्रतिक्रिया र सुरक्षा उपायहरू

सेप्टेम्बर १६, २०२४ मा यो आक्रमणको खुलासा भएपछि, अमेजनले तुरुन्तै प्रतिक्रिया दियो र तीन दिन भित्र समस्यालाई सम्बोधन गर्‍यो। एप्पलले यो पनि स्वीकार गरेको छ कि मालिकको मान निर्दिष्ट नगरी ec2:DescribeImages API मार्फत AMI ID हरू पुन: प्राप्त गर्ने ग्राहकहरू जोखिममा छन्।

यो खतरालाई कम गर्न, AWS ले डिसेम्बर २०२४ मा Allowed AMIs नामक नयाँ सुरक्षा सुविधा प्रस्तुत गर्‍यो। यो खाता-व्यापी सेटिङले प्रयोगकर्ताहरूलाई आफ्नो AWS खाताहरू भित्र AMIs को खोज र प्रयोगलाई प्रतिबन्धित गर्न अनुमति दिन्छ, जसले गर्दा आक्रमणको सतह उल्लेखनीय रूपमा कम हुन्छ। सुरक्षा पेशेवरहरूले AWS ग्राहकहरूलाई नाम भ्रम आक्रमणहरूबाट आफ्नो क्लाउड वातावरणलाई सुरक्षित राख्न यो नयाँ नियन्त्रणको मूल्याङ्कन र कार्यान्वयन गर्न सिफारिस गर्छन्।