«AgentCorruption» pone en peligro los entornos de AWS con una sola orden

Una vul­ne­ra­bi­li­dad ya co­rre­gi­da en la pla­ta­for­ma de AWS, de­no­mi­na­da 'Agent­Co­rrup­tion', pone en ries­go los en­tor­nos en la nube al per­mi­tir que un ata­can­te tome el con­trol de múl­ti­ples re­cur­sos me­dian­te una única ins­truc­ción di­ri­gi­da a un chat­bot de in­te­li­gen­cia ar­ti­fi­cial. La falla está re­la­cio­na­da con el ac­ce­so a los Ser­vi­cios de Me­ta­da­tos de Ins­tan­cias (IMDS) y afec­ta a los agen­tes des­ple­ga­dos a tra­vés de la pla­ta­for­ma ges­tio­na­da de Ama­zon, los cua­les eje­cu­ta­ban sus fun­cio­nes den­tro de mi­croVMs que ca­re­cían de un ais­la­mien­to de red ade­cua­do.

Me­dian­te esta de­bi­li­dad, los in­ves­ti­ga­do­res des­cu­brie­ron que un agen­te ac­ce­si­ble al pú­bli­co podía cum­plir con so­li­ci­tu­des de cre­den­cia­les tem­po­ra­les y otros datos con­fi­den­cia­les al­ma­ce­na­dos en el IMDS. De­bi­do a que el rol pre­de­ter­mi­na­do de la pla­ta­for­ma con­ta­ba con per­mi­sos de­ma­sia­do am­plios en toda la re­gión, el ac­ce­so ob­te­ni­do per­mi­tía no solo com­pro­me­ter un agen­te en es­pe­cí­fi­co, sino in­vo­car a otros, leer se­sio­nes, ac­ce­der a se­cre­tos cor­po­ra­ti­vos y rea­li­zar ata­ques de en­ve­ne­na­mien­to de me­mo­ria.

Tras re­ci­bir los re­por­tes sobre el fallo en los me­ta­da­tos y sobre el ex­ce­so de pri­vi­le­gios del rol pre­de­ter­mi­na­do, AWS im­ple­men­tó ac­tua­li­za­cio­nes en la pla­ta­for­ma para exi­gir au­ten­ti­ca­ción me­dian­te IMDSv2 en los nue­vos agen­tes y res­trin­gir los per­mi­sos que fa­ci­li­ta­ban la in­vo­ca­ción de otros re­cur­sos y la lec­tu­ra de con­ver­sa­cio­nes pri­va­das. Aun­que no se de­tec­ta­ron ex­plo­ta­cio­nes pre­vias de­bi­do a la di­fi­cul­tad de iden­ti­fi­car los agen­tes des­ple­ga­dos, los in­ves­ti­ga­do­res ad­vier­ten que este tipo de pro­ble­mas po­dría estar pre­sen­te en otras pla­ta­for­mas en la nube y re­cal­can la im­por­tan­cia de apli­car el prin­ci­pio de mí­ni­mo pri­vi­le­gio para li­mi­tar el al­can­ce de po­si­bles in­ci­den­tes.