Black Hat USA で 6 つの AWS サービスに重大な脆弱性が発見される

アクア・セキュリティの研究者らは水曜日、ブラックハットUSAで、アマゾン・ウェブ・サービス（AWS）傘下の6つのサービスに重大な脆弱性があり、アカウント乗っ取り、リモートコード実行、AIデータ操作、機密情報漏洩などが起こる可能性があると明らかにした。

アクアセキュリティのノーチラス研究チームによる発見がセッションで発表された。 「シャドーリソースによるAWSアカウントへの侵入” 今年ラスベガスで開催されたサイバーセキュリティ会議の水曜日の朝に発表された。この研究は、Aqua Security の主任セキュリティ研究者 Yakir Kadkoda 氏と上級セキュリティ研究者 Ofek Itach 氏、および元 Aqua Security 研究者 Michael Katchinskiy 氏によって発表された。

[For up-to-the-minute Black Hat USA coverage by SC Media, Security Weekly and CyberRisk TV visit our spotlight Black Hat USA 2024 coverage page.]

AWS が対処した「シャドウ リソース」攻撃ベクトルは、CloudFormation、Glue、EMR、SageMaker、ServiceCatalog、CodeStar などのさまざまな AWS サービスによる S3 バケットの自動生成に起因していました。ユーザーは、新しいプロジェクトやファイルのアップロードを開始するときにこれらのバケットが作成されていることに気付かない可能性があり、バケット名は攻撃者に悪用される可能性のある予測可能な命名スキームに従います。

最初に CloudFormation サービスで発見され、その後の調査で他の 5 つのサービスでも特定された Shadow Resources の脆弱性により、攻撃者は、ターゲットによってまだ作成されていないバケットの事前定義された名前を使用して独自の S3 バケットを作成できるようになりました。CloudFormation の場合、自動生成された S3 バケットは、サービス全体の固定プレフィックス、特定の AWS アカウントで一貫性が保たれる一意のハッシュ、およびバケットが作成されたリージョンを含む命名形式に従っていました。

したがって、攻撃者がターゲットの一意のハッシュを知っていれば、CloudFormation プレフィックス、ハッシュ、および 33 の AWS リージョンのいずれかを含むバケットを作成できます。どのアカウントでも、2 つの S3 バケットに同じ名前を付けることはできません。そのため、ターゲット ユーザーのアカウントが攻撃者が主張する名前で新しいバケットを作成しようとすると、エラーが発生するか、さらに悪い結果になります。

AWS の欠陥により、攻撃者は他のユーザーの「シャドー バケット」に侵入できるようになった

研究者らは、CloudFormation の場合、攻撃者が予測されたバケット名をすでに主張しているリージョンからテンプレート ファイルをアップロードしようとすると、攻撃者がバケットを CloudFormation サービスへのパブリック アクセスと読み取りおよび書き込み権限を許可するように構成している場合に限り、テンプレートが攻撃者のバケットに配置されることを発見しました。

攻撃者は、被害者がアップロードしたファイルにアクセスすることで、テンプレートに保存されている機密情報を盗むだけでなく、テンプレートを操作してバックドアを挿入し、アカウントを乗っ取る可能性もあります。これは、テンプレートの最初のアップロードとテンプレートの実行の間の時間を利用して、テンプレートが攻撃者のバケットに配置されるとすぐにバックドアを自動的に挿入する Lambda 関数を使用して実行できます。

研究者らが説明したバックドアは、攻撃者が後から引き継ぐことができる新しい管理者ロールの形をしています。ただし、研究者らは、このようなバックドアは、AWS マネジメント コンソール経由でテンプレートをアップロードした被害者ユーザーが新しい管理者ロールを作成する権限を持っている場合にのみ作成可能であると指摘しています。

この脆弱性により、攻撃者は、CloudFormation によって自動的に作成され、ターゲット自身にも知られていない可能性のある「シャドウ バケット」に潜伏し、ターゲットが新しいリージョンに初めて新しい CloudFormation スタックを作成するのを待機して、Lambda 関数とバックドア インジェクションをトリガーする可能性があります。

「このプロセスにはある程度の時間がかかる可能性があるが、何百ものアカウントと何千ものユーザーを抱える大規模な組織では、発生確率が高いことを考慮する必要がある」と研究者らはブログ投稿で指摘している。

複数のAWSサービスが「シャドーリソース」、「バケットモノポリー」攻撃に対して脆弱

AWS CloudFormation の「シャドウ リソース」脆弱性を発見した後、研究者らは他の AWS サービスにも調査を拡大し、Glue、EMR、SageMaker、ServiceCatalog、CodeStar サービスもそれぞれのバージョンの欠陥の影響を受けていることを発見しました。

これらのサービスはすべて、新しい Glue ジョブ、新しい EMR Studio、新しい SageMaker Canvas の作成など、新しいユーザーアクション時に特定のリソースを保存するための「シャドウバケット」を作成し、これらのバケットには、固定プレフィックス、AWS アカウント ID、リージョンコードなどの予測可能な名前が付けられていました。

サービスによっては、脆弱性を悪用するとさまざまな影響が生じる可能性があります。Glue ジョブのコードを操作するとリモート コード実行 (RCE) につながる可能性があり、EMR によってアップロードされた Jupyter ノートブックにコードを挿入するとクロスサイト スクリプティング (XSS) 攻撃が可能になる可能性があり、SageMaker データセットの読み取りと書き込みにより AI トレーニング データセットの盗難や操作につながる可能性があり、CodeStar S3 バケットのスクワッティングにより別のアカウントのバケットを使用して新しいプロジェクトを作成できなくなるためサービス拒否 (DoS) につながる可能性があります。

攻撃者は、研究者が「バケット モノポリー」と呼ぶものを作成し、既知のユーザー ハッシュまたはアカウント ID について、すべてのリージョンで考えられるすべてのバケットの名前を取得することで、攻撃の成功率を向上させることができます。この方法では、ターゲットによって任意のリージョンで生成された新しいバケットはすべて、攻撃者が制御するバケットにつながります。

Aqua Security は 2024 年 2 月にこれらの欠陥を AWS セキュリティ チームに初めて報告し、迅速な対応を促して 2024 年 6 月までにすべての脆弱性を完全に解決しました。

AWSアカウントID、一意のハッシュはシークレットとして扱う必要があります

「シャドウ リソース」の脆弱性は AWS によって対処されていますが、研究者らは、その調査結果は AWS アカウント ID などの潜在的な識別子を秘密として扱うことの重要性を示していると指摘しています。シャドウ リソースとバケット モノポリーの攻撃者は、攻撃者が被害者のアカウント ID または一意の CloudFormation バケット ハッシュのいずれかを取得することに依存しているため、これらの値を保護することで攻撃を効果的に防ぐことができます。

研究者らは、GitHub で正規表現検索を実行することで、露出している CloudFormation ハッシュと AWS アカウント ID を多数発見することができました。また、既知の AWS アカウント ID の大規模なリストもオンラインで公開されており、現在解決されている脆弱性がもたらす脅威の範囲を示しています。ただし、一部のオープンソースの AWS 統合でも、同様に予測可能な名前を持つ可能性のある S3 バケットが自動的に生成されるため、S3 バケット スクワッティングは依然として懸念される可能性があります。オープンソースの統合やその他のサービスにおける、まだ特定されていない同様の欠陥の悪用を防ぐために、研究者らは、ユーザーがアカウント ID とハッシュを公開しないようにすること、サービスが他のアカウントが所有するバケットを使用しないように aws:ResourceAccount 条件を実装すること、サービスが使用するバケットの所有権を確認すること、既知の命名規則に従った予測可能な名前ではなく、可能な限り S3 バケットに一意の名前を使用することを推奨しています。

また、この脆弱性を利用したアカウント乗っ取りの可能性は、攻撃者の S3 バケットの使用をトリガーしたユーザーの権限レベルに依存していたため、ユーザーにロールを割り当てる際に最小権限の原則に従うことの重要性が示されています。

[For up-to-the-minute Black Hat USA coverage by SC Media, Security Weekly and CyberRisk TV visit our spotlight Black Hat USA 2024 coverage page.]