вхоАМИ Аттацк

Истраживачи сајбер безбедности открили су нови напад конфузије имена назван „вхоАМИ“. Овај напад омогућава актерима претњи да изврше код у оквиру Амазон Веб Сервицес (АВС) налога објављивањем слике Амазон машине (АМИ) са одређеним именом. Ова рањивост има значајне импликације, јер би могла да омогући неовлашћени приступ хиљадама АВС налога.

Искоришћавање погрешно конфигурисаних АМИ претрага

Срж овог напада лежи у тактици манипулације ланцем снабдевања. То укључује примену претећег АМИ-ја и превару погрешно конфигурисаног софтвера да га користи уместо легитимне верзије. Ова рањивост је присутна и у приватним иу репозиторијумима отвореног кода, што је чини широко распрострањеном забринутошћу.

Како функционише напад

АВС дозвољава свакоме да објави АМИ, који су слике виртуелне машине које се користе за покретање инстанци Еластиц Цомпуте Цлоуд (ЕЦ2). Напад користи предност чињенице да програмери могу занемарити да наведу атрибут --овнерс када траже АМИ користећи ец2:ДесцрибеИмагес АПИ.

Да би овај напад успео, морају бити испуњени следећи услови:

• АМИ претрага се ослања на филтер имена.
• Претрага не наводи параметре власника, власника-псеудоним или власника-ИД.
• Захтев преузима последњу креирану слику (мост_рецент=труе).

Када се ови услови ускладе, нападач може да креира лажни АМИ са именом које одговара обрасцу претраге циља. Као резултат тога, ЕЦ2 инстанца се покреће коришћењем нападачевог компромитованог АМИ-ја, дајући могућности даљинског извршавања кода (РЦЕ) и омогућавајући активности након експлоатације.

Сличности са нападима конфузије зависности

Овај напад има сличности са експлоатацијом конфузије зависности, где несигурне софтверске зависности (као што је пип пакет) замењују легитимне. Међутим, у вхоАМИ нападу, компромитовани ресурс је слика виртуелне машине уместо софтверске зависности.

Амазонов одговор и мере безбедности

Након обелодањивања овог напада 16. септембра 2024, Амазон је одмах одговорио и решио проблем у року од три дана. Аппле је такође признао да су клијенти који преузимају АМИ ИД-ове преко ец2:ДесцрибеИмагес АПИ-ја без навођења вредности власника изложени ризику.

Да би ублажио ову претњу, АВС је представио нову безбедносну функцију под називом Дозвољени АМИ у децембру 2024. Ова поставка за цео налог омогућава корисницима да ограниче откривање и употребу АМИ-ја у оквиру својих АВС налога, значајно смањујући површину напада. Стручњаци за безбедност препоручују да АВС корисници процене и примене ову нову контролу како би заштитили своја окружења у облаку од напада конфузије имена.