#ParsedReport #ChatGPT #Translated
Autotext: (TI Report Analyser + ChatGPT + Auto Translate)

------
Исследователи установили, что сервис метаданных microVM и Внутренний прокси-сервер в AWS Bedrock AgentCore можно было подделать с помощью SSRF, что позволяло использовать подделанные JWT для вызова контейнеров агентов, минуя API-шлюз и журналирование CloudTrail. Также в доступных журналах содержалась конфиденциальная информация о внутренних операциях платформы, а обработка заголовков могла перенаправлять соединения с бэкендом. Позднее AWS внедрила взаимное TLS для блокировки продемонстрированного вектора атаки.
-----

Исследователи, анализирующие микровиртуальную машину (microVM) AWS Bedrock AgentCore Runtime, выявили уязвимости в коммуникации между компонентами платформы и службой метаданных микровиртуальной машины (MMDS). Платформенный компонент Logger периодически получал предподписанный URL S3 по незашифрованному HTTP, не проверяя токен аутентификации MMDS и не подтверждая адрес назначения. Подделывая ответы MMDS, исследователи перенаправили внутренний вывод Logger в управляемый злоумышленником бакет S3. Собранные журналы раскрыли информацию о процессе загрузки платформы, переходах жизненного цикла, предоставлении сертификатов TLS, инициализации прокси и деталях обработки вызовов.

Логи показали, что платформенный прокси, построенный на основе фреймворка Pingora от Cloudflare, завершает входящие соединения и маршрутизирует вызовы в контейнеры агентов. Прокси получал TLS-материалы и симметричный ключ подписи из MMDS и валидировал JWT рабочих нагрузок, связанные с доступом к вызовам AgentCore. Анализ показал, что прокси применял валидацию только для утверждений о сроке действия JWT (`exp`) и идентификаторе группы (`gid`). Остальные утверждения рассматривались как метаданные и не валидировались. Используя ключ подписи, предоставленный MMDS, исследователи создали минимальные JWT, содержащие только необходимые утверждения, и успешно вызвали агента через локальный прокси.

В продемонстрированном сценарии атаки злоумышленнику потребовалось бы наличие уязвимости SSRF с поддержкой метода POST в среде агента и доступ к MMDS при невозможности извлечения раздела с учетными данными. Затем подделанный токен мог бы инициировать новые сессии контейнеров напрямую через Внутренний прокси-сервер, минуя шлюз API Bedrock и не создавая соответствующего события в CloudTrail. Прокси-сервер также пересылал внутренние заголовки без их санитизации; хотя подделка заголовка `x-aws-proxy-ip` не влияла на маршрутизацию, манипуляция заголовком `x-aws-proxy-port` изменяла адрес конечной точки на стороне сервера и могла приводить к сбоям в установлении соединений.

Исследователи восстановили путь вызова от сервисной ячейки к локальному прокси и контейнеру и зафиксировали проблему конкатенации ответов, связанную с переводом HTTP/2 в HTTP/1.1, однако практическая эксплуатация уязвимости не была подтверждена. Впоследствии AWS добавил взаимную аутентификацию TLS для коммуникации с платформенным прокси, что предотвратило прямое использование данного вектора атаки сессиями контейнеров.