Sie sind hier: Startseite » Markt » Studien

Neuer Angriffsvektor "Shadow Resources"


Bei der Verwendung von AWS CloudFormation stieß Aqua Securitys Team Nautilus auf eine Sicherheitslücke
Die neue Angriffstechnik "Shadow Resources" nutzte erfolgreich zahlreiche Schwachstellen in AWS-Diensten aus


Aqua Security stellt eine neue Studie vor, die den neuen gefährlichen Angriffsvektor "Shadow Resources" im Detail beschreibt. Aqua Securitys Team Nautilus stieß bei der Verwendung von AWS CloudFormation auf die Sicherheitslücke. Dabei stellte das Team fest, dass AWS automatisch einen neuen Bucket mit demselben Namen erstellt, wenn der Dienst erstmalig in der AWS-Management-Konsole in einer neuen Region verwendet wird. Da ihn Benutzer nicht erstellt haben, wissen sie in der Regel nicht, dass dieser neue Bucket existiert, weshalb das Team Nautilus den Angriffsvektor "Shadow Resources" (Schattenressourcen) taufte. Als "Schattenressource" sind solch automatisch generierten Buckets nach ihrer Erstellung anfällig für externe Angriffe.

Vorhersehbare Namensmuster machen S3-Buckets anfällig
Nachdem Nautilus die Schwachstelle in AWS CloudFormation festgestellt hatte, weitete das Team seine Untersuchungen auf andere AWS-Dienste aus. Neben CloudFormation fand das Team dieselbe Schwachstelle auch in den Diensten Glue, EMR, SageMaker, ServiceCatalog und CodeStar. Zu den potenziellen Auswirkungen dieser Schwachstellen gehören Remote Code Execution (RCE), die Übernahme des gesamten Dienstes durch den Benutzer, die Manipulation von KI-Modulen, die Offenlegung sensibler Daten, die Datenexfiltration und Denial-of-Service. AWS bestätigte die Ergebnisse der Untersuchung, hat bereits umgehend reagiert und die Schwachstellen behoben.

Die neue Angriffstechnik kann jedoch in einigen Szenarien oder bei anderen Diensten, Produkten oder Open-Source-Projekten, die vorhersehbare Benennungsmuster verwenden, weiterhin vorkommen. Denn Angreifer können den Namen eines S3-Buckets erraten, indem sie einem vorhersehbaren Namensmuster folgen, einen neuen bösartigen Bucket in einer anderen Region erstellen und darauf warten, dass jemand den von Angreifern kontrollierten S3-Bucket verwendet. So können die Angreifer Code ausführen, Daten manipulieren und stehlen und die vollständige Kontrolle über das Konto des Benutzers ohne dessen Wissen erlangen.

"Bucket-Monopoly" – Angreifer richten Buckets in ungenutzten AWS-Regionen ein
Bei weiteren Untersuchungen, wie Angreifer Buckets mit der neuen Methode ausnutzen können, entdeckte das Nautilus-Team eine Variante des Angriff-Vektors, den es "Bucket-Monopoly" nannte. Bei dieser Technik richten Angreifer Buckets in allen ungenutzten AWS-Regionen ein, was die Erfolgsquote der Angreifer dramatisch erhöht. Diese Methode ist besonders für Open-Source-Projekte und unentdeckte verwundbare Komponenten relevant.

"S3-Buckets werden im Allgemeinen für ihre einfache Bereitstellung gelobt," sagt Yakir Kadkoda, Lead Researcher bei Aqua Security. "Die Vorhersagbarkeit der S3-Namen öffnet böswilligen Angriffen jedoch Tür und Tor. Unsere Untersuchung zeigt, wie wichtig es ist, sorgfältig zu sein und Kontrollpunkte einzurichten, um Benutzer zu warnen, wenn ein Bucket-Name bereits verwendet wird. Dies ermöglicht Benutzern, ihre eigenen Bucket-Namen zu erstellen, und erschwert es einem potenziellen Angreifer bösartige Versionen von Buckets vorherzusagen und zu erstellen." (Aqua Security: ra)

eingetragen: 27.09.24
Newsletterlauf: 18.11.24

Aqua Security: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser PMK-Verlags-Newsletter
Ihr PMK-Verlags-Newsletter hier >>>>>>



Meldungen: Studien

  • Einführung eines Monetarisierungsmodells

    Revenera hat den Monetization Monitor 2025 Outlook zu "Software Monetization Models and Strategies" vorgestellt. Die Umfrage unter 418 Anbietern legt dabei unter anderem die momentanen Herausforderungen der Softwarebranche offen.

  • SaaS-Explosion: ein zweischneidiges Schwert

    Es sollte nicht überraschen, dass sich Unternehmen in der heutigen digitalen Landschaft mehr denn je auf Software-as-a-Service (SaaS)-Anwendungen verlassen, um ihren Betrieb zu gewährleisten. Vom CRM über das Projektmanagement und die Personalverwaltung bis hin zum Coding - SaaS-Lösungen sind innerhalb kurzer Zeit zum Rückgrat des modernen Unternehmens geworden.

  • Malware-Downloads über beliebte Cloud-Apps

    Netskope Threat Labs veröffentlichte ihren neuesten Research Report, der sich auf Bedrohungen durch Cloud-Apps auf dem deutschen Markt konzentriert. Der Bericht betont die zunehmende Nutzung der Cloud und den Anstieg von Daten, die in Cloud Computing-Anwendungen hoch- und heruntergeladen werden.

  • Neuer Angriffsvektor "Shadow Resources"

    Aqua Security stellt eine neue Studie vor, die den neuen gefährlichen Angriffsvektor "Shadow Resources" im Detail beschreibt. Aqua Securitys Team Nautilus stieß bei der Verwendung von AWS CloudFormation auf die Sicherheitslücke. Dabei stellte das Team fest, dass AWS automatisch einen neuen Bucket mit demselben Namen erstellt, wenn der Dienst erstmalig in der AWS-Management-Konsole in einer neuen Region verwendet wird.

  • Der KI-Optimismus ist hoch

    Riverbed gab die Ergebnisse der Riverbed Global AI & Digital Experience Survey bekannt. Die Umfrage zeigt, dass sich Unternehmen hinsichtlich der beschleunigten Einführung von KI an einem Wendepunkt befinden. Trotz des Optimismus zeigt die Studie die Situation: Obwohl 94 Prozent der Befragten international (95 Prozent der Befragten aus Deutschland) KI als eine der wichtigsten Prioritäten der Unternehmensleitung bezeichnen und 91 Prozent international (Deutschland: 88 Prozent) sie als Wettbewerbsvorteil ansehen, sind nur 37 Prozent der Befragten international (Deutschland: 48 Prozent) bereit, KI-Projekte jetzt zu implementieren.

  • KI-Technologie und "Quiet Hiring"

    Laut dem Digital Maturity Report 2024 von Docusign erhöhen europäische Unternehmen trotz schwieriger wirtschaftlicher Rahmenbedingungen ihre Investitionen in die digitale Transformation. Allerdings wird der digitale Reifeprozess durch erhebliche Lücken behindert, die ein Effizienz- und Produktivitätsparadoxon für Unternehmen aller Größenordnungen aufzeigen: fehlende Bereitschaft zur Veränderung, Budgetbeschränkungen und ein Mangel an Nachwuchstalenten.

  • Multi-Cloud-Reifegrad europäischer Unternehmen

    Infoblox hat herausgefunden, dass europäische Unternehmen beim Thema Multi-Cloud-Management hinter ihren internationalen Wettbewerbern zurückliegen. Dies geht aus dem neuen Report "Der Stand der Reife des Hybrid-Multi-Cloud-Managements in Europa" hervor, den die Enterprise Strategy Group (ESG) im Auftrag von Infoblox erstellt hat. Der Bericht vergleicht den hybriden Multi-Cloud-Reifegrad europäischer Unternehmen mit dem Rest der Welt und zeigt auf, wo die Region hinterherhinkt und warum es wichtig ist, sich zu verbessern.

  • Geschäftsaussichten für KMU

    Laut einer neuen Studie von Alibaba.com sind KMU weltweit zunehmend optimistisch, was ihre künftigen Geschäftsaussichten angeht. Die Studie, die unter mehr als 2.000 KMU-Entscheidungsträgern in Deutschland, Frankreich, dem Vereinigten Königreich und den USA im Zeitraum 27. bis 30. August 2024 von Alibaba.com durchgeführt wurde, zeigt: 69 Prozent der KMU-Entscheidungsträger sehen die Wachstumschancen ihres Unternehmens positiver1 als vor sechs Monaten. Die KMU in Deutschland sind am optimistischsten, 74 Prozent der Befragten sehen ihre Wachstumschancen positiver als vor sechs Monaten, während 65 Prozent der KMU in Frankreich dasselbe sagten. Die Pläne für neue und vielfältige Produktangebote tragen zu diesem Geschäftsoptimismus bei, denn fast die Hälfte (45 Prozent) der KMU weltweit plant die Einführung von ein bis zwei neuen Produktlinien in den nächsten zwölf Monaten.

  • Übergang zu einem KI-gestützten Unternehmen

    In den letzten Jahren entwickelte sich die digitale Transformation zu einer unverzichtbaren Priorität für die Führungsebene. Viele Chief Technology Officers (CTOs) erkennen zunehmend, dass die Digitalisierung ein sich kontinuierlich weiterentwickelndes Konzept ist. Während in früheren Phasen der Digitalisierung der Fokus auf Prozessautomatisierung lag, betrachtet heute die Mehrheit der CTOs die digitale Transformation als den "Katalysator für Geschäftswachstum" und sieht darin den wichtigsten Vorteil.

  • Am Data Act scheiden sich die Geister

    Die deutsche Wirtschaft bereitet sich auf die Umsetzung des Data Act der EU vor. Durch ihn wird sich der Umgang mit Daten stark verändern. Ab September 2025 gelten neue Regeln: Wer dann eine smarte Waschmaschine kauft, kann viele der von ihr gesammelten Daten nutzen. Und ein Unternehmen, das Druckgussmaschinen herstellt, muss dem Nutzer der Maschine Zugang zu Daten gewähren, die es auch selbst von der Maschine erhält. Das regelt der Data Act, den die EU Anfang des Jahres verabschiedet hat.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen