AWS修補了可被用以發(fā)動DoS、資料外泄的容器鏡像文件服務漏洞

安全廠商發(fā)現(xiàn)AWS容器服務一項組件的重大漏洞，可被用來發(fā)動拒絕服務（DoS）、外泄資料、網(wǎng)絡橫向移動等多種形態(tài)攻擊。AWS已經(jīng)在上個月將之修補。

AWS容器注冊表（Amazon Elastic Container Registry，ECR）是AWS的受管Docker容器注冊表，可供開發(fā)人員存放、共享及部署容器映像。ECR Public是開放給外部人士共享的鏡像文件存儲庫，其中Public Gallery則是一個公共門戶網(wǎng)站，列出所有托管在ECR Public的公開存儲庫。許多知名公司和項目、服務像是NGINX、Ubuntu、Amazon Linux、HashCorp Consul都在此發(fā)布鏡像文件給外部用戶。

安全廠商Lightspin在ECR Public Gallery的主要JavaScript文件中發(fā)現(xiàn)一組未記載的API actions，可用來添加、刪除、變更容器鏡像文件。這些API actions雖然未記載，卻是有效的，這意味著可為找到這些API的人所用。研究人員指出，該漏洞可讓攻擊者刪除其他AWS賬號名下的ECR鏡像文件，或上傳、添加惡意鏡像文件，進而發(fā)動拒絕服務、資料外泄、網(wǎng)絡橫向移動、權限擴張、資料破壞和其他多變量攻擊路徑。

研究人員在一次概念驗證（PoC）中，成功撰寫了一個Python腳本程序調(diào)用其中一個API action，并刪除測試用ECR Public上存儲庫的鏡像文件。

安全廠商于11月15日向AWS通報這項漏洞，這家云計算大廠隔日就修補了漏洞。