Les chercheurs en cybers\u00e9curit\u00e9 ont divulgu\u00e9 un nouveau type d’attaque de confusion de nom appel\u00e9 Whoami qui permet \u00e0 quiconque publie une image de machine Amazon (Ami<\/a>) avec un nom sp\u00e9cifique pour gagner l’ex\u00e9cution de code dans le compte Amazon Web Services (AWS).<\/p>\n “S’il est ex\u00e9cut\u00e9 \u00e0 grande \u00e9chelle, cette attaque pourrait \u00eatre utilis\u00e9e pour acc\u00e9der \u00e0 des milliers de comptes”, chercheur Seth Art, chercheur en laboratoire de s\u00e9curit\u00e9 de Datadog, Seth Art dit<\/a> Dans un rapport partag\u00e9 avec le Hacker News. “Le mod\u00e8le vuln\u00e9rable se trouve dans de nombreux r\u00e9f\u00e9rentiels de code priv\u00e9 et open source.”<\/p>\n En son c\u0153ur, l’attaque est un sous-ensemble d’une attaque de cha\u00eene d’approvisionnement qui implique de publier une ressource malveillante et de tromper des logiciels \u00e0 tort \u00e0 l’utilisation au lieu de l’homologue l\u00e9gitime.<\/p>\n L’attaque exploite le fait que quiconque peut ami, qui fait r\u00e9f\u00e9rence \u00e0 une image de machine virtuelle qui est utilis\u00e9e pour d\u00e9marrer les instances Elastic Compute Cloud (EC2) dans AWS, au catalogue communautaire et au fait que les d\u00e9veloppeurs pourraient omettre de mentionner les “- propri\u00e9taires “Attribut quand recherche<\/a> pour un via l’API EC2: d\u00e9crire lestimages.<\/p>\n En termes diff\u00e9remment, l’attaque de confusion de nom n\u00e9cessite que les trois conditions ci-dessous soient remplies lorsqu’une victime r\u00e9cup\u00e8re l’ami via l’API –<\/p>\n Cela conduit \u00e0 un sc\u00e9nario o\u00f9 un attaquant peut cr\u00e9er un ami malveillant avec un nom qui correspond au mod\u00e8le sp\u00e9cifi\u00e9 dans les crit\u00e8res de recherche, entra\u00eenant la cr\u00e9ation d’une instance EC2 en utilisant le doppelg\u00e4nger AMI de l’acteur de menace.<\/p>\n Ceci, \u00e0 son tour, accorde des capacit\u00e9s d’ex\u00e9cution de code distant (RCE) sur l’instance, permettant aux acteurs de la menace d’initier diverses actions post-exploitation.<\/p>\n https:\/\/www.youtube.com\/watch?v=l-wexfjd-bo<\/a><\/p>\n Tout ce dont un attaquant a besoin est un compte AWS pour publier son AMI arri\u00e8re dans le catalogue AMI de la communaut\u00e9 publique et opter pour un nom qui correspond aux AMI recherch\u00e9es par leurs cibles.<\/p>\n “Il est tr\u00e8s similaire \u00e0 une attaque de confusion de d\u00e9pendance, sauf que dans ce dernier, la ressource malveillante est une d\u00e9pendance logicielle (comme un package PIP), tandis que dans l’attaque de confusion du nom Whoami, la ressource malveillante est une image de machine virtuelle” ” L’art a dit.<\/p>\n Datadog a d\u00e9clar\u00e9 qu’environ 1% des organisations surveill\u00e9es par la soci\u00e9t\u00e9 ont \u00e9t\u00e9 affect\u00e9es par l’attaque de Whoami, et qu’elle a trouv\u00e9 des exemples publics de code \u00e9crit en Python, Go, Java, Terraform, Pulumi et Bash Shell en utilisant les crit\u00e8res vuln\u00e9rables.<\/p>\n Apr\u00e8s la divulgation responsable le 16 septembre 2024, le probl\u00e8me a \u00e9t\u00e9 r\u00e9solu par Amazon trois jours plus tard. Lorsqu’il a \u00e9t\u00e9 contact\u00e9 pour commenter, AWS a d\u00e9clar\u00e9 au Hacker News qu’il n’avait trouv\u00e9 aucune preuve que la technique avait \u00e9t\u00e9 abus\u00e9e dans la nature.<\/p>\n “Tous les services AWS fonctionnent comme con\u00e7us. Sur la base d’une analyse et d’une surveillance des journaux approfondis, notre enqu\u00eate a confirm\u00e9 que la technique d\u00e9crite dans cette recherche n’a \u00e9t\u00e9 ex\u00e9cut\u00e9e que par les chercheurs autoris\u00e9s eux-m\u00eames, sans aucune preuve d’utilisation par d’autres parties”, la soci\u00e9t\u00e9 dit.<\/p>\n “Cette technique pourrait affecter les clients qui r\u00e9cup\u00e8rent les identifiants d’image d’image Amazon Machine (AMI) via l’API EC2: D\u00c9CRIMAGES sans sp\u00e9cifier la valeur du propri\u00e9taire. En d\u00e9cembre 2024, nous avons introduit AMIS AMIS, un nouveau Param\u00e8tre \u00e0 l’\u00e9chelle du compte<\/a> Cela permet aux clients de limiter la d\u00e9couverte et l’utilisation d’AMIS dans leurs comptes AWS. Nous recommandons aux clients d’\u00e9valuer et de mettre en \u0153uvre cela Nouveau contr\u00f4le de s\u00e9curit\u00e9<\/a>. “<\/p>\n En novembre dernier, Hashicorp Terraform a commenc\u00e9 \u00e0 \u00e9mettre des avertissements aux utilisateurs lorsque “Most_recent = true” est utilis\u00e9 sans un filtre de propri\u00e9taire dans Terraform-Provider-aws Version 5.77.0<\/a>. Le diagnostic d’avertissement est attendu<\/a> Pour \u00eatre mis \u00e0 niveau vers une erreur Effective Version 6.0.0.<\/p>\n <\/p>\n![\"Cybers\u00e9curit\u00e9\"](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2025\/02\/Nouvelle-attaque-whoami-exploite-Aws-Ami-Nom-Confusion-pour-lexecution.png\")
<\/a><\/center><\/div>\n\n
<\/a><\/center><\/div>\n