كشف باحثون في الأمن السيبراني عن تفاصيل ثغرة أمنية تم إصلاحها مؤخرًا في عميل SSM Agent الخاص بخدمة Amazon EC2، والتي كانت – إذا استُغلت بنجاح – تُمكن المهاجم من تصعيد الصلاحيات وتنفيذ أوامر برمجية على النظام.
ماذا كانت تفعل الثغرة؟
وفقًا لتقرير شركة Cymulate، فإن الثغرة سمحت للمهاجم بما يلي:
-
إنشاء مجلدات في مواقع غير مقصودة ضمن نظام الملفات
-
تنفيذ سكريبتات ضارة بصلاحيات الجذر (root)
-
الوصول إلى ملفات النظام الحساسة لتنفيذ أنشطة ضارة أو تصعيد الامتيازات
ما هو Amazon SSM Agent؟
يُعد SSM Agent مكونًا من خدمات Amazon Web Services (AWS)، يتيح للمسؤولين التحكم عن بعد في:
-
تشغيل الأوامر البرمجية
-
إدارة وتكوين مثيلات EC2 والخوادم المحلية (On-Premises)
ويعمل هذا العميل من خلال SSM Documents التي تتضمن أوامر ووظائف (Plugins) يتم تنفيذها تلقائيًا.
أصل المشكلة: التحقق غير الكافي من معرفات الإضافات
اكتشف الباحث إيلياد بيبر (Elad Beber) أن الثغرة ناتجة عن ضعف التحقق في دالة “ValidatePluginId”
هذه الدالة لم تكن تقوم بتنقية (Sanitize) إدخال معرف الإضافة بشكل كافٍ، مما يسمح بإدخال مسارات متداخلة (Path Traversal)
ماذا يعني هذا؟
بإمكان المهاجم استغلال هذه الثغرة عند إنشاء مستند SSM، باستخدام معرف مخصص للإضافة يحتوي على مسارات رجعية . ونتيجة لذلك، يتمكن من:
-
الكتابة في مجلدات غير مسموح بها
-
تنفيذ سكريبتات خبيثة بصلاحيات مرتفعة
-
تنفيذ تعليمات ما بعد الاستغلال (Post-Exploitation) مثل تثبيت أبواب خلفية
إصلاح الثغرة وتحديث العميل
- تم الإبلاغ المسؤول عن الثغرة في 12 فبراير 2025، وسارعت Amazon إلى معالجة المشكلة بتاريخ 5 مارس 2025، بإصدار النسخة:
amazon-ssm-agent 3.3.1957.0وأشار فريق المشروع على GitHub في ملاحظات الإصدار إلى أنه:“تمت إضافة طريقة BuildSafePath لمنع تجاوز المسارات في مجلد التنسيق (orchestration directory).”
تحديث من Amazon
بعد نشر الخبر، أصدرت Amazon بيانًا أوضحت فيه أن:الثغرة ليست تصعيدًا حقيقيًا للصلاحيات لأنها لا تمنح صلاحيات جديدة للمستخدم
استغلال الثغرة يتطلب امتلاك المهاجم صلاحيات موجودة مسبقًا لتشغيل مستندات SSM داخل حسابه
لا يلزم اتخاذ أي إجراء إذا كان المستخدم يعمل بإصدار 3.3.1802.0 أو أحدث
يُنصح بتحديث أي إصدار أقدم إلى 3.3.1802.0 على الأقل لضمان الحماية
