Son dönemde siber güvenlik araştırmacıları, Amazon Web Services (AWS) üzerinde bulunan varsayılan kimlik ve erişim yönetimi (IAM) rollerinin ciddi güvenlik açıkları barındırdığını ortaya koydu. Bu roller, saldırganların yetki yükseltmesi yaparak diğer AWS hizmetlerini manipüle etmesine ve bazı durumlarda AWS hesaplarının tam anlamıyla tehlikeye girmesine zemin hazırlayabilir.

Aqua araştırmacıları Yakir Kadkoda ve Ofek Itach, yaptıkları analizde, “Bu roller genellikle otomatik olarak oluşturulur veya kurulum sırasında önerilir ve geniş izinler, örneğin tam S3 erişimi gibi, sunar” şeklinde belirttiler. Varsayılan rollerin sunduğu bu gibi izinler, saldırganların yetki yükseltmesi, hizmetler arası erişim ve hesapların tehlikeye girmesi gibi potansiyel saldırı yolları yaratmaktadır.

Varsayılan IAM Rollerinin Sorunları

Siber güvenlik firması, AWS hizmetleri tarafından oluşturulan varsayılan IAM rollerindeki güvenlik sorunlarını belirlemiştir. Bu hizmetler arasında SageMaker, Glue, EMR ve Lightsail bulunmaktadır. Ayrıca, popüler bir açık kaynak çerçevesi olan Ray‘de de benzer bir hata tespit edilmiştir. Ray, otomatik olarak bir varsayılan IAM rolü (ray-autoscaler-v1) oluşturmakta ve bu rol, AmazonS3FullAccess politikasını içermektedir.

Bu IAM rollerinin endişe verici yanı, belirli bir amaca yönelik olmalarına rağmen, idari eylemler gerçekleştirmek ve hizmetler arasındaki izolasyon sınırlarını aşmak için kötüye kullanılmalarıdır. Dolayısıyla, ortamda bir erişimi olan bir saldırgan, hizmetler arasında yatay hareket edebilir.

Tehdit Senaryoları ve Saldırı Yöntemleri

Saldırılar, kurbanın AWS kaynaklarını kullanması durumunda, tahmin edilebilir S3 bucket isimlendirme kalıplarını kullanarak saldırganların kullanılmayan AWS bölgelerinde bucket oluşturmasına olanak tanıyan bucket monopolü saldırısı gibi durumları kapsamaktadır.

Araştırmacılar, "Bu durumda, AmazonS3FullAccess’a sahip bir varsayılan hizmet rolüne erişim sağlayan bir saldırganın, uzaktan bucket isimlerini tahmin etmesine bile gerek yoktur," açıklamasında bulundular. Mevcut yetkilerini kullanarak başka hizmetlerin kullandığı bucket’ları arayabilir, varlıkları değiştirerek ilerleyerek diğer AWS hizmetlerine geçiş sağlayabilirler.

IAM rollerinin AmazonS3FullAccess izinlerine sahip olması, her S3 bucket’ına yazma/okuma erişimi sağlamakta ve çeşitli AWS hizmetlerini değiştirmeye olanak vermektedir. Böylece, bu roller, yatay hareket ve yetki yükseltmesi için güçlü bir araç haline gelmektedir.

AWS Güvenlik Açıkları ve Yanıtları

Belirlenen bazı hizmetler, izinli politikalar ile aşağıda sıralanmıştır:

• Amazon SageMaker AI, bir SageMaker alanı ayarlarken, AmazonS3FullAccess ile eşdeğer bir özel politika içeren varsayılan bir çalışma rolü olan AmazonSageMaker-ExecutionRole- oluşturur.
• AWS Glue, AmazonS3FullAccess politikası ile varsayılan bir AWSGlueServiceRole rolü oluşturur.
• Amazon EMR, AmazonS3FullAccess politikasına atanan varsayılan bir AmazonEMRStudioRuntimeRole oluşturur.

Hayali bir saldırı senaryosunda, bir tehdit aktörü Hugging Face‘e zararlı bir makine öğrenimi modeli yükleyebilir. Bu model, SageMaker’a aktarıldığında, rastgele kod çalıştırarak, diğer AWS hizmetlerini kontrol altına almak için arka kapı enjekte edebilir.

Saldırgan, hesap içindeki yetkilerini artırarak, CloudFormation tarafından kullanılan bucket’ları arayarak, daha fazla yetki kazanmak amacıyla kötü bir şablon enjekte edebilir.

AWS, bu güvenlik açıklarını bildirdiği için, varsayılan hizmet rollerinin AmazonS3FullAccess politikasında değişiklik yaparak durumu düzeltmeye çalışmıştır. Araştırmacılar, "Varsayılan hizmet rollerinin, ihtiyaç duydukları belirli kaynaklar ve eylemler ile sıkı bir şekilde sınırlandırılması gerekmektedir," şeklinde uyarılarda bulundular. "Örgütler, riskleri en aza indirmek için mevcut rolleri proaktif bir şekilde denetlemeli ve güncellemelidir. Varsayılan yapılandırmalara güvenmek, yeterli bir önlem değildir."

Diğer Bulunan Güvenlik Açıkları

Varonis, Microsoft Azure AI ve Yüksek Performanslı Hesaplama (HPC) iş yüklerinde önceden yüklenmiş Azure Storage‘ı monte etmek için kullanılan bir yardımcı programda bulunan bir güvenlik açığını detaylandırdı. Bu güvenlik açığı, belirtilen yardımcı program yüklü olan bir Linux makinesindeki bir yetkisiz kullanıcının kök yetkilerle yetkilerini artırmasına olanak sağlar.

Güvenlik araştırmacısı Tal Peleg, "Bu, Azure Storage Hesabı NFS uç noktalarını monte etmek için AZNFS-mount isimli bir yardımcı programın kurulumu ile ilgili klasik bir yetki yükseltme yöntemini içermektedir," şeklinde belirtti. Örneğin, bir kullanıcı kök izinlerini artırabilir, ek Azure Storage konteynerlerini monte edebilir, makineye zararlı yazılımlar veya fidye yazılımları yükleyebilir ve ağ veya bulut ortamında yatay hareket etmeyi deneyebilir.

Bu güvenlik açığı, 2.0.10 sürümüne kadar olan tüm versiyonları etkilemektedir ve 2025 yılında yayımlanan 2.0.11 versiyonu ile düzeltilmiştir.

Bu konuyla ilgili daha fazla bilgi almak için sosyal medya hesaplarımızdan bizi takip edebilirsiniz.

Güncel Siber Güvenlik Haberleri – 1

Concal Electronics, 14 inç ila 18 inç arasında yatay olarak genişleyen bir ekran içeren bir konsept cihazı olan Infinite Dizüstü bilgisayarı tanıttı. Dikey olarak genişleyen çoğu genişletilebilir ekran kavramının aksine, Compal’ın tasarımı ekran genişliğini arttırır ve çoklu görev, içerik oluşturma ve eğlence sağlayabilir daha geniş bir en boy oranı sunar. Mekanizma her iki taraftan da uzanır, yapısal denge ve dayanıklılığın geçici olarak konuşlandırılmasını sağlar.

Dizüstü bilgisayarda ayrıca, e -postalar veya sistem uyarıları gibi bildirimleri görüntüleyebilen üye üzerinde LED dizileri bulunur. Gerekli olmasa da, bu ekleme cihazı açmadan hızlı, göze çarpabilir güncellemeler sağlar.

Compal, genişletilebilir dizüstü bilgisayar ekranlarını ilk deneyen değil. Lenovo, her ikisi de taşınabilirliği korurken ekran gayrimenkulünü artırmanın farklı yöntemlerini keşfeden Thinkbook Plus Rollable ve yakın zamanda sergilenen ThinkBook Flip dahil olmak üzere benzer kavramları tanıttı. Lenovo’nun tasarımları ikincil veya katlanır ekranlar eklemeye odaklandı, Weeas Compal’ın sonsuz dizüstü bilgisayarı sorunsuz, yan genişleyen bir yaklaşım hedefliyor.

Özellikle, Concal zaten bir IF Tasarım Ödülü Yenilikleri için, tüketicilerin kavramın yakında gerçeğe dönüşmesini bekleyebilecekleri önerisi. Orijinal bir tasarım üreticisi (ODM) olarak Compal, kendi markası altında ürün satmak yerine öncelikle prototipler geliştirir. Sonsuz dizüstü bilgisayar, Concal’ın uygun konseptlerinin çoğu gibi, Dell, HP veya Lenovo gibi büyük markalar için rafine edip pazara getirebilir. Şirket herhangi bir teknik detay paylaşmadı, ancak genişleme ekranının yuvarlanabilir bir OLED panelini kullanacağı oldukça açık görünüyor.

Bu tasarımın kütle üretimini belirten belirsiz olsa da, genişletilebilir ekranlar dizüstü bilgisayar endüstrisinde ilgi alanı haline geliyor. Üreticiler, taşınabilirlikten ödün vermeden üretkenliği artırmanın yeni yollarını araştırdıkça, sonsuz dizüstü bilgisayar gibi kavramlar, birden fazla cihaz taşımadan daha büyük çalışma alanlarına ihtiyaç duyan kullanıcılar için dizüstü bilgisayar tasarımının geleceğini şekillendirebilir.

genel-19

Dizüstü bilgisayar üreticisi Concal elektronikler Bir IF Tasarım Ödülü 2025 kazandı Uzatma ekranı olan daha önce görünmeyen bir tasarım için (h/t Liliputing). Lenovo Thinkbook Plus’ın Aralık ayında gördük ve MWC’de gördüğümüz Thinkbook Codename Flip’in aksine, Concal Infinite Dizüstü Bilgisayar ekranı yatay olarak uzanarak 14- ila 18 inçlik bir diyagonal genişliyor.

Bir dizüstü bilgisayar satın almak bazı zor kararlar ve uzlaşmalar içerir. Bununla birlikte, bir zamanlar satın alma sonrası taşta ayarlanan özelliklerin artık her zamankinden daha kolay. Örneğin, taşınabilir monitörler her zamankinden daha yaygın ve daha ucuzdur, bu nedenle ihtiyaç duyduğunuzda dizüstü bilgisayar sırt çantanızda daha fazla ekran alanına sahip olabilirsiniz. Benzer şekilde, entegre grafiklerle ince ve hafif bir karar verirseniz, 2025’te çok sayıda taşınabilir EGPU rıhtım vardır.

İmaj 1 ile ilgili 4

genel-21

Great Wall, ilk partideki tüm Souo motosikletlerinin satıldığını duyurdu. Üstelik en pahalı seçenek olan 40,5 bin dolara S2000 Founder Edition en hızlı şekilde satıldı, 5 dakikadan az sürdü. Bu türden 88 adet motosiklet sunuldu. S2000GL versiyonundan (üç yan çantalı ve konforlu arka koltuklu) 140 adet 5 dakikada satıldı, 30,7 bin dolarlık temel S2000ST versiyonundan 60 adet ise 15 dakikada alıcısını buldu.

Great Wall Souo S2000, Honda Gold Wing’in bir analogudur. Motosikletin boyutları 2660 x 950 x 1540 mm ve dingil mesafesi uzunluğu 1810 mm’dir. Bu model dünyanın yatay olarak karşılıklı 8 silindirli motora sahip ilk motosikletidir. 2,0 litre hacimli motor 154 hp güç üretiyor. İçten yanmalı motor, 8 vitesli robotik şanzımanla birleştirilmiştir.

genel-22