ΑρχικήsecurityΕντοπίστηκε σοβαρό ελάττωμα στην δημόσια γκαλερί Amazon ECR

Εντοπίστηκε σοβαρό ελάττωμα στην δημόσια γκαλερί Amazon ECR

Ένα σοβαρό ελάττωμα ασφαλείας στη δημόσια γκαλερί Amazon ECR (Elastic Container Registry) θα μπορούσε να έχει επιτρέψει στους εισβολείς να διαγράψουν οποιαδήποτε εικόνα container ή να εισάγουν κακόβουλο κώδικα στις εικόνες άλλων λογαριασμών AWS.

Δείτε επίσης: ChatGPT: Το AI bot θα μπορούσε να βοηθήσει κυβερνοεγκληματίες

Amazon ECR

Το Amazon ECR Public Gallery είναι το ιδανικό μέρος για να βρείτε και να μοιραστείτε έτοιμες εφαρμογές, γνωστές διανομές Linux όπως το Nginx, το Amazon Linux, τον agent CloudWatch και τον agent Datadog. Το repository προσφέρει μια εύχρηστη πλατφόρμα για όσους αναζητούν μια επιλογή από έτοιμες εικόνες container!

Δείτε επίσης: Stalkerware εφαρμογές κατακλύζουν συσκευές iPhone και Android

Οι αναλυτές ασφαλείας της Lightspin εντόπισαν μια ευπάθεια στη δημόσια γκαλερί του Amazon ECR που επιτρέπει στους χρήστες να χειρίζονται τις υπάρχουσες δημόσιες εικόνες, τα layers, τα tags, τα registries και τα αποθετήρια άλλων πελατών εκμεταλλευόμενοι λειτουργίες API που δεν έχουν τεκμηριωθεί.

Στις 15 Νοεμβρίου 2022, ο ερευνητής ειδοποίησε την AWS Security για μια ευπάθεια στο σύστημά της- μέσα σε μία ημέρα η Amazon κυκλοφόρησε ένα patch για την αντιμετώπιση αυτού του ελαττώματος ασφαλείας.

Παρά την έλλειψη αποδείξεων ότι αυτή η ευπάθεια έχει γίνει αντικείμενο εκμετάλλευσης από κακόβουλους φορείς, οι απειλητικοί φορείς θα μπορούσαν να πραγματοποιήσουν επιθέσεις στην αλυσίδα εφοδιασμού σε μαζική κλίμακα εναντίον αμέτρητων χρηστών.

Δεν αποτελεί έκπληξη το γεγονός ότι οι έξι κορυφαίες εικόνες container στην ECR Public Gallery έχουν συγκεντρώσει 13 δισεκατομμύρια λήψεις, παρουσιάζοντας ένα ιδανικό σημείο εισόδου για κακόβουλους φορείς για να εξαπλώσουν τη μόλυνσή τους σε μαζική κλίμακα.

Δείτε επίσης: Crypto-mining malware ενώνεται με το Chaos RAT και στοχεύει Linux

Η έρευνα της Lightspin αποκάλυψε ότι το 26% των Kubernetes clusters έχουν τουλάχιστον ένα pod που αντλεί από την ECR Public Gallery, επομένως οι επιπτώσεις θα μπορούσαν να είναι σημαντικές.

Εκμετάλλευση μη τεκμηριωμένων ενεργειών API

Η ομάδα ερευνητών της Lightspin αποκάλυψε ότι η ECR Public Gallery είχε πολλές εσωτερικές ενέργειες API που χρησιμοποιούνται για την υποστήριξη συγκεκριμένων εντολών και ενεργειών χρήστη, αλλά δεν πρέπει να εκτίθενται δημόσια.

Παρόλο που τέσσερις από τις ενέργειες API που αναφέρονται παρακάτω δεν είχαν triggers, ήταν ωστόσο ανιχνεύσιμες στην πλατφόρμα και, ως εκ τούτου, μπορούσαν να κληθούν.

  • DeleteImageForConvergentReplicationInternal
  • DeleteTagForConvergentReplicationInternal
  • PutImageForConvergentReplicationInternal
  • PutLayerForConvergentReplicationInternal

Αφού βρήκε έναν τρόπο ελέγχου ταυτοποίησης έναντι του εσωτερικού API ECR χρησιμοποιώντας προσωρινά credentials από το Amazon Cognito, ο αναλυτής πλαστογράφησε κακόβουλα αιτήματα API που θα γίνονταν αποδεκτά.

Φυσικά, για να λειτουργήσει το παραπάνω, το αίτημα θα πρέπει να έχει μια έγκυρη δομή JSON και δεδομένου ότι δεν υπήρχε τεκμηρίωση για αυτές τις κλήσεις API, η πραγματοποίηση του απαιτούσε κάποιο πειραματισμό.

Σύμφωνα με την έκθεση της Lightspin, διεξήχθη ένα proof of concept χρησιμοποιώντας το API call “DeleteImage” και προσβάσιμα αναγνωριστικά αποθετηρίου/εικόνας, προκειμένου να διαγραφεί μια εικόνα που είχε μεταφορτωθεί από έναν ερευνητή.

Ο ερευνητής έφτιαξε τα βήματα exploit σε ένα Python script, επομένως η διαδικασία θα μπορούσε να είχε αυτοματοποιηθεί για να καταχραστεί ττα undocumented API calls για επίθεση σε δημόσιες εικόνες.

Για όσους δεν γνωρίζουν

Το Elastic Container Registry (ECR) της Amazon Web Services (AWS) παρέχει έναν ασφαλή και οικονομικά αποδοτικό τρόπο για τους προγραμματιστές να αποθηκεύουν και να διαχειρίζονται τα container images τους στο cloud.

Πηγή πληροφοριών: bleepingcomputer.com

Teo Ehc
Teo Ehchttps://www.secnews.gr
Be the limited edition.

Εγγραφή στο Newsletter

* indicates required

FOLLOW US

LIVE NEWS