AWS 취약점: 계정 탈취 공격의 위험에 노출된 사용자

최근 최근 보고서에 따르면 사이버 보안 연구원들이 최근 발견한 AWS 취약점 을 발견했습니다. 이 취약점이 악용될 경우 특정 시나리오에서 계정 탈취 공격이 발생할 수 있습니다. 이 글에서는 가능한 익스플로잇과 초기 발견 과정 등에 대해 자세히 살펴보겠습니다. 시작하겠습니다!

AWS 취약점: 초기 발견 및 세부 정보

AWS(Amazon Web Services) CDK는 CloudFormation을 통해 프로그래밍 언어를 사용하여 애플리케이션 리소스를 정의하는 데 사용되는 오픈 소스 소프트웨어 개발 프레임워크입니다. 사용되는 프로그래밍 언어는 다음과 같습니다:  

• Python.
• TypeScript.
• 자바스크립트.

자세한 내용을 살펴보기 전에 클라우드 보안 회사인 Aqua가 이전 조사 결과를 바탕으로 이 문제를 확인했다는 점에 주목할 필요가 있습니다. 이 조사 결과에서는 AWS의 섀도 리소스에 대해 자세히 설명했습니다. 또한 AWS 심플 스토리지 서비스(S3) 버킷에 대해 미리 정의된 명명 규칙이 어떻게 무기화되는지도 밝혀냈습니다. 

이러한 시나리오가 널리 퍼지면 위협 행위자는 버킷 독점 공격을 조율할 수 있으며, 이러한 공격이 성공하면 민감한 정보에 액세스할 수 있게 됩니다. 지금까지 AWS 취약점 에 관한 한, 부트스트래핑을 통해 이러한 환경을 만들 수 있다는 사실을 아는 것이 중요합니다.

부트스트랩 프로세스 중에 다양한 AWS 리소스가 환경에 프로비저닝됩니다. 이러한 리소스에는 다음이 포함됩니다:  

• AWS S3 버킷입니다.
• Amazon Elastic 컨테이너 레지스트리(Amazon ECR) 리포지토리.
• AWS ID 및 액세스 관리(IAM) 역할.

S3 버킷 명명 보안 위험 

완전히 이해하려면 AWS 취약점를 완전히 이해하려면 부트스트래핑 프로세스의 일부로 생성된 IAM 역할 중 일부가 다양한 유형의 권한을 부여한다는 사실을 알아야 합니다. 이러한 권한에는 S3 버킷과 관련된 자산 업로드 및 삭제가 포함됩니다.

팀이 클러스터의Kubernetes 취약점을주의해야 하는 것과 마찬가지로, 예측 가능한 S3 버킷 이름도 주의해야 합니다. 또한 관리 액세스 권한이 있는 권한 스택 배포도 포함될 수 있습니다.

사이버 보안 전문가들은 AWS CDK에서 생성되는 IAM 역할의 명명 패턴이 동일한 구조를 따른다고 말합니다:

"cdk-{큐리파이어}-{설명}-{계정-ID}-{지역}"

이 구조 내의 각 필드에 대한 자세한 내용은 아래에 언급되어 있습니다:  

또한 부트스트랩 프로세스 중에 생성되는 S3 버킷은 이름 지정 패턴을 따릅니다:

"cdk-{큐리파이어}-자산-{계정-ID}-{지역}."

이와 관련된 추가 인사이트 제공 AWS 취약점, Aqua 는 그:

"많은 사용자가 한정자를 사용자 지정하지 않고 cdk 부트스트랩 명령을 실행하기 때문에, 스테이징 버킷의 S3 버킷 이름 지정 패턴을 예측할 수 있게 됩니다. 버킷 이름 한정자의 기본값이 'hnb659fds'로 설정되어 있어 버킷의 이름을 쉽게 예측할 수 있기 때문입니다."

인기 있는 GPU 드라이버의 엔비디아 취약점으로 인해 공격자들이 예측 가능한 패턴을 악용하는 것으로 나타났듯이, 여기에서도 위협 행위자들은 대규모로 버킷 스니핑을 스크립트화할 수 있습니다.

한 가지 주목할 점은 GitHub에서 발견된 여러 인스턴스가 기본 한정자를 사용하고 있었다는 점입니다. 이것이 위협 행위자에게 의미하는 바는 버킷의 이름을 추측하는 것이 AWS 계정 ID와 CDK가 배포된 지역을 파악하는 것만큼이나 간단하다는 것입니다. 

이 AWS 취약점 은 위협 행위자가 S3 버킷 이름 스쿼팅을 조율할 수 있게 해줍니다. 버킷 스나이핑이라고도 하는 이 기법은 해커가 성공적으로 익스플로잇하려는 AWS 취약점 다른 사용자의 CDK 버킷을 차지할 수 있기 때문입니다.

의 결과 AWS 취약점 익스플로잇

가능한 익스플로잇의 결과와 관련해서는 다음과 같습니다. AWS 취약점 은 부분적인 서비스 거부 (DoS)의 길을 열어줍니다. 이는 사용자가 동일한 계정 ID와 지역으로 CDK를 부트스트랩하려고 시도할 때 발생합니다.

결과의 강도는 AWS 취약점 감염된 CDK가 공격자가 제어하는 S3 버킷에서 데이터를 읽고 쓸 수 있는 권한을 가지고 있을 때 그 결과의 강도가 증가합니다.

이러한 권한을 통해 위협 행위자는 CloudFormation 템플릿을 변조할 수 있습니다. 이는 해커가 침해된 계정 내에서 악의적인 작업을 수행할 수 있다는 것을 의미합니다. 전문가들은 CloudFormation 템플릿에 대해 다음과 같이 언급했습니다:  

"CloudFormation 서비스의 배포 역할, 즉 CDK의 CloudFormationExecutionRole 역할은 기본적으로 계정 내에서 관리 권한을 갖습니다. 즉, 피해자의 CDK에 의해 공격자의 S3 버킷에 작성된 모든 CloudFormation 템플릿은 나중에 피해자 계정의 관리 권한으로 배포됩니다. 이를 통해 공격자는 권한 있는 리소스를 생성할 수 있습니다."

AWS 계정 탈취 취약점 공격 체인 

이 취약점에 대한 공격 체인은 다음과 같습니다. AWS 취약점 에 관한 한, 위협 행위자는 이미 존재했던 버킷과 일치하는 이름의 버킷을 만들어야 합니다. 이를 위해 사용자는 CDK 부트스트랩 프로세스를 시작한 다음 S3 버킷을 삭제해야 합니다. 이 자산이 바로 이 AWS 취약점 익스플로잇을 시작하는 데 사용되는 자산이 됩니다.

중복 버킷을 생성하면 CDK가 이를 신뢰하게 되어 위협 행위자가 CloudFormation 템플릿을 작성할 수 있게 됩니다. 하지만 해커가 이를 성공시키기 위해 충족해야 하는 몇 가지 전제 조건이 있습니다. 여기에는 다음이 포함됩니다:  

• • 예측 가능한 이름으로 버킷을 청구하고 공개 액세스 허용하기

• 악성 관리자 역할 또는 백도어를 지정된 CloudFormation 템플릿 파일에 삽입하는 Lambda 함수 만들기.

이러한 모든 조건이 충족되면 AWS 취약점 해커는 표적이 된 계정을 완전히 제어할 수 있습니다. 그러나 이렇게 하려면 사용자가 CDK를 배포해야 합니다. "cdk deploy." 이렇게 하면 해커가 공격 초기 단계에서 생성한 복제 버킷으로 템플릿이 전송됩니다.

또한 제어권을 획득하는 데 사용되는 관리자 역할도 주입합니다. 관리자 역할은 공격자의 람다 함수를 사용하여 주입된다는 점에 주목할 필요가 있습니다. 이 함수는 피해자의 CKD로 작성된 CloudFormation 템플릿 파일을 손상된 S3 버킷으로 백도어합니다. 

이 일련의 이벤트가 완료되면 피해자의 계정은 공격자의 버킷에서 리소스를 읽고 배포하여 해커가 새로운 관리자 역할을 생성할 수 있게 됩니다. 사이버 보안 전문가들은 이 공격 방법론에 대한 인사이트를 제공하면서 다음과 같이 말했습니다: 

"누군가 부트스트랩 프로세스 중에 생성된 CDK 스테이징 S3 버킷을 삭제한 후 CDK를 다시 사용하려고 하면 대상 계정에 관리자 역할을 만들 수 있었습니다. 하지만 부트스트랩이 완료된 후 누군가가 CDK S3 버킷을 삭제할 가능성을 고려해야 합니다."

위험을 완화하는 보안 프로토콜 

이로 인해 발생할 수 있는 여파를 고려할 때 AWS 취약점 악용될 수 있다는 점을 고려할 때 보안 조치 에 대해 알아두는 것은 필수적입니다. 이러한 보안 프로토콜에는 다음이 포함됩니다:

• CDK 버전으로 업데이트하기 CDK 버전 v2.149.0은 사용자 계정 내의 S3 버킷만 신뢰하도록 하는 강화된 보안 조치가 포함되어 있습니다. 이렇게 하면 CDK가 사용자 계정이 소유하지 않은 버킷으로 데이터를 푸시하지 못하게 됩니다. 
• 기본값 대신 사용자 지정 한정자 사용 "hnb659fds" 부트스트랩 리소스를 사용자 정의하여 업데이트된 AWS 문서.

이전 버전으로 부트스트랩한 사용자는 여전히 다음과 같은 AWS 취약점 익스플로잇의 희생양이 될 수 있습니다. 이러한 사용자는 위험을 완화하려면 버전 v2.149.0 이상으로 업그레이드하고 "cdk 부트스트랩" 명령을 다시 실행해야 합니다. 대안으로 이러한 사용자는 다음과 유사한 IAM 정책을 적용할 수도 있습니다. AWS 패치.

결론 

이 AWS 취약점 은 보안 구성과 최신 소프트웨어 버전 유지의 중요성을 강조합니다. CDK 버전 v2.149.0으로 업데이트하고 기본 설정을 사용자 지정하는 등 권장 프로토콜을 따르면 계정 탈취 공격의 위험을 크게 줄이고 민감한 AWS 리소스를 보호할 수 있습니다. 이러한 취약성과 가능한 공격 시나리오는 이제 다음과 같은 사전 예방적 사이버 보안 조치 위험을 완화하고 보안 태세를 개선하는 데 도움이 될 수 있습니다.

이 글의 출처에는 다음 기사가 포함됩니다. 해커 뉴스 와 Aqua.