Los investigadores de ciberseguridad han revelado los detalles de una falla de seguridad ahora parada en el agente de Amazon EC2 Simple Systems Manager (SSM) que, si se explota con éxito, podría permitir que un atacante alcance la escalada y la ejecución de código privilegios.
La vulnerabilidad podría permitir que un atacante cree directorios en ubicaciones no deseadas en el sistema de archivos, ejecute scripts arbitrarios con privilegios raíz y probablemente intensifique privilegios o realice actividades maliciosas escribiendo archivos a áreas confidenciales del sistema, dijo Cymulate en un informe compartido con las noticias de los hackers.
Amazon SSM Agent es un componente de Amazon Web Services (AWS) que permite a los administradores administrar, configurar y ejecutar comandos en las instancias de EC2 y los servidores locales.
El software procesa comandos y tareas definidas en documentos SSM, que pueden incluir uno o más complementos, cada uno de los cuales es responsable de llevar a cabo tareas específicas, como ejecutar scripts de shell o automatizar actividades relacionadas con la implementación o configuración.
Además, el agente SSM crea dinámicamente directorios y archivos basados en las especificaciones del complemento, que generalmente depende de las ID de complemento como parte de la estructura del directorio. Esto también introduce un riesgo de seguridad en esa validación inadecuada de estos ID de complemento puede conducir a posibles vulnerabilidades.
El Discovery by Cymulate es una falla transversal de ruta que surge como resultado de la validación inadecuada de las ID de complemento, lo que podría permitir a los atacantes manipular el sistema de archivos y ejecutar código arbitrario con privilegios elevados. El problema está enraizado en una función llamada «ValidatePluginid» dentro de Pluginutil.go.
«Esta función no puede desinfectar adecuadamente la entrada, lo que permite a los atacantes suministrar ID de complemento malicioso que contienen secuencias transversales de ruta (por ejemplo, ../)», dijo el investigador de seguridad Elad Beber.
Como resultado de este defecto, un atacante podría esencialmente proporcionar una ID de complemento especialmente elaborada al crear un documento SSM (por ejemplo, ../../../../../../malicious_directory) para ejecutar comandos o scripts arbitrarios en el sistema de archivos subyacente, allanando el camino para la escalada privilegiada y otras acciones posteriores a la explotación.
Después de la divulgación responsable el 12 de febrero de 2025, la vulnerabilidad se abordó el 5 de marzo de 2025, con el lanzamiento de Amazon SSM Agent versión 3.3.1957.0.
«Agregue y use el método BuildSafePath para evitar el recorrido de la ruta en el directorio de orquestación», de acuerdo con las notas de la versión compartidas por los mantenedores del proyecto en GitHub.