LAS VEGAS / LONDON (IT BOLTWISE) – Auf der Black Hat USA Sicherheitskonferenz in Las Vegas wurde eine bedeutende Sicherheitslücke in Amazons Elastic Container Service (ECS) vorgestellt. Diese Schwachstelle, die von Naor Haziz von Sweet Security entdeckt wurde, ermöglicht es Angreifern, IAM-Berechtigungen von höher privilegierten Containern zu übernehmen.
Die Sicherheitslücke, die als ECScape bezeichnet wird, stellt eine erhebliche Bedrohung für die Cloud-Infrastruktur dar, da sie Angreifern ermöglicht, sich lateral innerhalb eines ECS-Clusters zu bewegen und auf sensible Daten zuzugreifen. Diese Schwachstelle nutzt ein nicht dokumentiertes internes Protokoll von ECS aus, um AWS-Anmeldeinformationen von anderen ECS-Tasks auf demselben EC2-Host zu stehlen. Ein bösartiger Container mit niedrigen Berechtigungen kann so die Rechte eines höher privilegierten Containers übernehmen.
Amazon ECS ist ein vollständig verwalteter Container-Orchestrierungsdienst, der es Benutzern ermöglicht, containerisierte Anwendungen in der Cloud bereitzustellen, zu verwalten und zu skalieren. Die von Sweet Security identifizierte Schwachstelle ermöglicht eine Privilegieneskalation, indem ein Task mit niedrigen Berechtigungen die IAM-Berechtigungen eines höher privilegierten Containers auf demselben EC2-Host kapert.
Die Schwachstelle wird durch einen Metadatenservice bei 169.254.170[.]2 ermöglicht, der temporäre Anmeldeinformationen für die IAM-Rolle des Tasks bereitstellt. Ein Angreifer könnte die Identität des ECS-Agenten ausnutzen, um sich als dieser auszugeben und Anmeldeinformationen für jeden Task auf dem Host zu erhalten. Der Angriff erfolgt in mehreren Schritten, darunter das Erlangen der IAM-Rollen-Anmeldeinformationen des Hosts und das Fälschen von Anfragen an den Agent Communication Service (ACS).
Amazon hat nach der verantwortungsvollen Offenlegung der Schwachstelle betont, dass Kunden stärkere Isolationsmodelle anwenden sollten, wo dies möglich ist. Es wird empfohlen, hochprivilegierte Tasks nicht zusammen mit unzuverlässigen oder niedrig privilegierten Tasks auf demselben Host zu betreiben, AWS Fargate für echte Isolation zu nutzen und den Zugriff auf den Instanz-Metadatenservice (IMDS) einzuschränken.
Die Entdeckung von ECScape reiht sich in eine Serie von Sicherheitslücken in Cloud-Diensten ein, die in den letzten Wochen bekannt wurden. Dazu gehören Schwachstellen in Google Cloud Build, Oracle Cloud Infrastructure und Microsoft Azure, die alle potenziell schwerwiegende Auswirkungen auf die Sicherheit von Cloud-Umgebungen haben könnten.
Die zentrale Lektion aus diesen Vorfällen ist, dass jede Container-Instanz als potenziell kompromittierbar betrachtet werden sollte. Entwickler sollten die Sicherheitsmechanismen, die verschiedene Tasks auf einem Host isolieren, genau prüfen und sicherstellen, dass diese Mechanismen keine subtilen Schwächen aufweisen.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
Stellenangebote
Bauprojektleiter Technische Gebäudeausrüstung Elektrotechnik für KI- Rechenzentrumprojekte (m/w/d)
Duales Studium BWL - Spezialisierung Artificial Intelligence (B.A.) am Campus oder virtuell
Senior Projektmanager (m/w/d) Softwarentwicklung & AI Solutions
Dozent Tourismusmanagement Tech und KI (m/w/d)
- Die Zukunft von Mensch und MaschineIm neuen Buch des renommierten Zukunftsforschers und Technologie-Visionärs Ray Kurzweil wird eine faszinierende Vision der kommenden Jahre und Jahrzehnte entworfen – eine Welt, die von KI durchdrungen sein wird
- Künstliche Intelligenz: Expertenwissen gegen Hysterie Der renommierte Gehirnforscher, Psychiater und Bestseller-Autor Manfred Spitzer ist ein ausgewiesener Experte für neuronale Netze, auf denen KI aufbaut
- Obwohl Künstliche Intelligenz (KI) derzeit in aller Munde ist, setzen bislang nur wenige Unternehmen die Technologie wirklich erfolgreich ein
- Wie funktioniert Künstliche Intelligenz (KI) und gibt es Parallelen zum menschlichen Gehirn? Was sind die Gemeinsamkeiten von natürlicher und künstlicher Intelligenz, und was die Unterschiede? Ist das Gehirn nichts anderes als ein biologischer Computer? Was sind Neuronale Netze und wie kann der Begriff Deep Learning einfach erklärt werden?Seit der kognitiven Revolution Mitte des letzten Jahrhunderts sind KI und Hirnforschung eng miteinander verflochten
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Sicherheitslücke in Amazon ECS: ECScape ermöglicht Credential-Diebstahl" für unsere Leser?
#Sophos
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Sicherheitslücke in Amazon ECS: ECScape ermöglicht Credential-Diebstahl" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Sicherheitslücke in Amazon ECS: ECScape ermöglicht Credential-Diebstahl« bei Google Deutschland suchen, bei Bing oder Google News!