AWS-Sicherheitslücke: Benutzer gefährdet durch Account Takeover Attacken

Wie aus jüngsten Berichtenhaben Cybersicherheitsforscher kürzlich eine AWS-Schwachstelle in dem Cloud Development Kit (CDK) entdeckt. Wenn diese Schwachstelle ausgenutzt wird, könnte sie in bestimmten Szenarien zu Kontoübernahme-Angriffen führen. In diesem Artikel befassen wir uns mit den Details einer möglichen Ausnutzung, der ersten Entdeckung und mehr. Fangen wir an!

AWS-Sicherheitslücke: Erste Entdeckung und Details

Das Amazon Web Services (AWS) CDK ist ein Open-Source-Softwareentwicklungsrahmen, der zur Definition von Anwendungsressourcen unter Verwendung von Programmiersprachen über CloudFormation verwendet wird. Zu den verwendeten Programmiersprachen gehören:  

• Python.
• TypeScript.
• JavaScript.

Bevor wir auf weitere Details eingehen, sollten wir erwähnen, dass das Problem von Aqua, einem Cloud-Sicherheitsunternehmen, auf der Grundlage früherer Erkenntnisse erkannt wurde. Diese Erkenntnisse betrafen Schattenressourcen in AWS. Darüber hinaus wurde aufgezeigt, wie vordefinierte Namenskonventionen für AWS Simple Storage Service (S3)-Buckets als Waffe eingesetzt werden können. 

Die Verbreitung eines solchen Szenarios würde es Bedrohungsakteuren ermöglichen, Bucket-Monopoly-Angriffe zu inszenieren, und wenn sie erfolgreich sind, würden solche Angriffe helfen, Zugang zu sensiblen Informationen zu erhalten. In Bezug auf die AWS-Schwachstelle im CDK betrifft, so ist es wichtig zu wissen, dass solche Umgebungen durch Bootstrapping erstellt werden können.

Während des Bootstrapping-Prozesses werden verschiedene AWS-Ressourcen für die Umgebung bereitgestellt. Zu diesen Ressourcen gehören:  

• Ein AWS S3-Bucket.
• Amazon Elastic Container Registry (Amazon ECR) Repository.
• AWS Identity and Access Management (IAM)-Rollen.

S3 Bucket Naming Sicherheitsrisiko 

Zum vollständigen Verständnis der AWS-Schwachstellezu verstehen, muss man wissen, dass einige der IAM-Rollen, die im Rahmen des Bootstrapping-Prozesses erstellt werden, verschiedene Arten von Berechtigungen gewähren. Diese Berechtigungen umfassen das Hochladen und Löschen von Assets, die mit den S3-Buckets verbunden sind.

Genauso wie Teams aufKubernetes-Schwachstellenin ihren Clustern achten müssen, müssen Sie sich auch vor vorhersehbaren S3-Bucket-Namen schützen. Darüber hinaus können sie auch die Bereitstellung von Berechtigungsstapeln mit administrativem Zugriff umfassen.

Cybersecurity-Experten haben festgestellt, dass das Benennungsmuster der IAM-Rollen, die von AWS CDK erstellt werden, der gleichen Struktur folgt:

"cdk-{Qualifier}-{Description}-{Account-ID}-{Region}"

Die Einzelheiten zu den einzelnen Feldern innerhalb dieser Struktur sind nachstehend aufgeführt:  

Darüber hinaus folgt der S3-Bucket, der während des Bootstrapping-Prozesses erstellt wird, dem Namensmuster:

"cdk-{Qualifier}-assets-{Account-ID}-{Region}".

Weitere Informationen zu dieser Schwachstelle AWS-SchwachstelleAqua erklärte das:

"Da viele Benutzer den cdk-Bootstrap-Befehl ausführen, ohne den Qualifier anzupassen, wird das Namensmuster des S3-Buckets für den Staging-Bucket vorhersehbar. Dies liegt daran, dass der Standardwert für den Bucket-Namensqualifizierer auf 'hnb659fds' festgelegt ist, was es einfacher macht, den Bucket-Namen vorherzusehen."

Wie Nvidia-Schwachstellen in beliebten GPU-Treibern gezeigt haben, nutzen Angreifer jedes vorhersehbare Muster aus, und auch hier können Bedrohungsakteure Skripte für Bucket-Sniping in großem Maßstab erstellen.

Es ist erwähnenswert, dass mehrere Instanzen, die auf GitHub entdeckt wurden, den Standardqualifizierer verwendeten. Für Bedrohungsakteure bedeutet dies, dass es so einfach ist, den Namen eines Buckets zu erraten, indem man die AWS-Konto-ID und die Region, in der das CDK bereitgestellt wird, bestimmt. 

Diese AWS-Schwachstelle ermöglicht es Bedrohungsakteuren, S3 Bucket Name Squatting zu orchestrieren. Diese Technik, die auch als Bucket Sniping bezeichnet wird, stellt sicher, dass die Hacker im Begriff sind, die AWS-Schwachstelle da sie den CDK-Bucket eines anderen Benutzers beanspruchen können.

Die Folgen der AWS-Schwachstelle Ausnutzen

Was die Folgen eines möglichen Angriffs betrifft, so ist diese AWS-Schwachstelle ebnet den Weg für einen partiellen Denial-of-Service (DoS). Dies geschieht, wenn ein Benutzer versucht, das CDK mit der gleichen Konto-ID und Region zu booten.

Die Intensität der Folgen der AWS-Schwachstelle erhöht sich, wenn die kompromittierte CDK die Berechtigung hat, Daten aus dem vom Angreifer kontrollierten S3-Bucket zu lesen und in dieses zu schreiben.

Solche Berechtigungen würden es einem Bedrohungsakteur ermöglichen, CloudFormation-Vorlagen zu manipulieren. Dies würde bedeuten, dass Hacker bösartige Aktionen innerhalb des kompromittierten Kontos durchführen können. Zu den CloudFormation-Vorlagen haben Experten Folgendes erklärt:  

"Die Bereitstellungsrolle des CloudFormation-Dienstes, d. h. die Rolle CloudFormationExecutionRole in CDK, verfügt standardmäßig über administrative Berechtigungen innerhalb des Kontos. Das bedeutet, dass jede CloudFormation-Vorlage, die vom CDK des Opfers in den S3-Bucket des Angreifers geschrieben wird, später mit administrativen Rechten im Konto des Opfers bereitgestellt wird. Dies würde es dem Angreifer ermöglichen, privilegierte Ressourcen zu erstellen."

AWS Account Takeover Schwachstelle Angriffskette 

Was die Angriffskette für diese Schwachstelle angeht AWS-Schwachstelle muss der Bedrohungsakteur einen Bucket mit einem Namen erstellen, der mit einem bereits vorhandenen Bucket übereinstimmt. Dazu müssten die Benutzer den CDK-Bootstrap-Prozess einleiten und anschließend den S3-Bucket löschen. Dies wäre der Vermögenswert, der zur Initiierung der AWS-Schwachstelle auszunutzen.

Die Erstellung eines doppelten Buckets würde das CDK dazu veranlassen, diesem Bucket zu vertrauen, so dass Bedrohungsakteure CloudFormation-Vorlagen in diesen Bucket schreiben lassen können. Es gibt jedoch bestimmte Voraussetzungen, die ein Hacker erfüllen muss, damit dies gelingt. Dazu gehören:  

• • Beanspruchen des Buckets mit dem vorhersehbaren Namen und Ermöglichen des öffentlichen Zugriffs

• Erstellen einer Lambda-Funktion zum Einfügen einer bösartigen Administratorrolle oder Backdoor in eine bestimmte CloudFormation-Vorlagendatei.

Sobald alle diese Bedingungen erfüllt sind, wird die AWS-Schwachstelle Hacker die vollständige Kontrolle über das Zielkonto übernehmen. Dazu muss der Benutzer jedoch das CDK mit "cdk deploy". Dadurch wird die Vorlage an den duplizierten Bucket gesendet, den der Hacker in der Anfangsphase des Angriffs erstellt hat.

Darüber hinaus würde er auch eine Admin-Rolle injizieren, die für die Übernahme der Kontrolle verwendet wird. Es ist erwähnenswert, dass die Admin-Rolle mithilfe der Lambda-Funktion des Angreifers injiziert wird. Diese Funktion würde die CloudFormation-Vorlagendatei, die jedoch von der CKD des Opfers geschrieben wurde, in das kompromittierte S3-Bucket einschleusen. 

Sobald diese Kette von Ereignissen abgeschlossen ist, liest das Konto des Opfers Ressourcen aus dem Bucket des Angreifers und stellt sie bereit, so dass der Hacker eine neue Administratorrolle erstellen kann. Cybersecurity-Experten haben Einblicke in diese Angriffsmethodik gewährt und erklärt, dass: 

"Wir waren in der Lage, eine Administratorrolle in einem Zielkonto zu erstellen, wenn jemand das CDK-Staging-S3-Bucket löscht, das während des Bootstrap-Prozesses erstellt wurde, und dann versucht, CDK erneut zu verwenden. Wir sollten jedoch die Wahrscheinlichkeit berücksichtigen, dass jemand das CDK S3-Bucket löscht, nachdem es gebootstrapt wurde."

Sicherheitsprotokolle zur Risikominderung 

Angesichts der möglichen Folgen dieser AWS-Schwachstelle ausgenutzt wird, sollte man sich über Sicherheitsmaßnahmen die zur Risikominderung ergriffen werden können, von entscheidender Bedeutung. Zu diesen Sicherheitsprotokollen gehören:

• Aktualisierung auf CDK-Version CDK-Version v2.149.0 mit verbesserten Sicherheitsmaßnahmen, die vorschreiben, dass nur S3-Buckets innerhalb des Benutzerkontos vertrauenswürdig sind. Dadurch wird verhindert, dass das CDK Daten in einen Bucket schiebt, der nicht dem Benutzerkonto gehört. 
• Verwendung eines benutzerdefinierten Qualifizierers anstelle des Standardqualifizierers "hnb659fds" durch Anpassen der Bootstrapping-Ressourcen, wie in der aktualisierten AWS-Dokumentation.

Es ist erwähnenswert, dass Benutzer, die mit einer älteren Version gebootet haben, immer noch dem Risiko ausgesetzt sein können, Opfer der AWS-Schwachstelle auszunutzen. Um das Risiko zu minimieren, sollten diese Benutzer auf Version v2.149.0 oder höher aktualisieren und den Befehl "cdk bootstrap" Befehl ausführen. Alternativ können solche Benutzer auch eine IAM-Richtlinie anwenden, die dem AWS-Patch.

Schlussfolgerung 

Diese AWS-Schwachstelle zeigt, wie wichtig es ist, sichere Konfigurationen und aktuelle Softwareversionen zu verwenden. Durch Befolgung der empfohlenen Protokolle, wie z. B. die Aktualisierung auf CDK-Version v2.149.0 und die Anpassung der Standardeinstellungen, können Benutzer das Risiko von Kontoübernahmeangriffen erheblich verringern und sensible AWS-Ressourcen schützen. Solche Schwachstellen und möglichen Angriffsszenarien erfordern jetzt den Einsatz von proaktiven Cybersicherheitsmaßnahmen die helfen können, das Risiko zu mindern und die Sicherheitslage zu verbessern.

Zu den Quellen für diesen Beitrag gehören Artikel in Die Hacker-Nachrichten und Aqua.