מחקר Aryon: משאבי AWS נחשפים לציבור לדקות בלבד, וסורקי אבטחה מחמיצים אותם
לפי מחקר ShutterGap של Aryon, צילומי מסד נתונים ומשאבים אחרים ב-AWS נשארים ציבוריים דקות ספורות. סורקים תקופתיים לא מזהים אותם, ותוקף יכול להעתיק אותם.
TL;DR בקצרה
- ב-29 ביולי 2026 פרסמה Aryon את מחקר ShutterGap על משאבי AWS שחשופים לציבור לדקות ואז נמחקים.
- לפי המחקר, 20% מצילומי המסד הציבוריים של RDS נעלמו תוך פחות משתי דקות. ב-90 דקות ב-us-east-1 הרשימה השתנתה 12 פעמים.
- תוקף יכול להתחיל להעתיק צילום חשוף לחשבון שלו ברגע שהוא מופיע, ולחקור אותו אחר כך. סורקים שרצים אחת ל-24 שעות לא יראו זאת.
- Aryon מדגישה שזו טעות תצורה של לקוחות ולא חולשה של AWS, וממליצה למנוע חשיפה בעזרת מדיניות SCP.
חברת האבטחה Aryon פרסמה ב-29 ביולי 2026 את ShutterGap. זה מחקר על משאבי AWS שנפתחים לציבור לדקות ספורות ואז נעלמים. לפי החוקרים, סורקי אבטחה תקופתיים לא רואים את החלונות הקצרים האלה. תוקף שמנטר אותם יכול להעתיק את המשאב, ולחקור אותו אחרי שהחשיפה הסתיימה.
ShutterGap: חשיפה של דקות שהסורקים מחמיצים
ב-AWS אפשר לשתף משאבים עם כל חשבון, כלומר לפתוח אותם לציבור. זה קורה למשל לצילומי מסד נתונים (snapshots) של RDS ו-DocumentDB, לתמונות מכונה (AMI) ולמסמכי SSM. לפי המחקר של Aryon, יש מיליוני משאבים כאלה שנפתחו לציבור בטעות. חלקם נשארו ציבוריים דקות ספורות, ואז נמחקו.
כלי CSPM ו-CNAPP, שבודקים הגדרות בענן, רצים לעיתים קרובות פעם ב-24 שעות. משאב שנפתח ונסגר בין שתי סריקות לא יופיע בדוח. הצוות לא ידע שהמידע היה גלוי.
המספרים מאחורי החשיפה הקצרה
החוקרים עקבו אחרי רשימת צילומי ה-RDS הציבוריים ב-us-east-1. ב-90 דקות ב-28 ביוני 2026 השתנה המספר 12 פעמים: שש יצירות ושש מחיקות. 20% מהצילומים הציבוריים הופיעו ונעלמו בפחות משתי דקות. מבין הצילומים של RDS ו-DocumentDB שנמחקו, 99% נעלמו תוך 30 דקות מרגע היצירה.
גם במשאבים אחרים החשיפה קצרה. לפי Aryon, כ-30% ממסמכי ה-SSM ומתמונות ה-AMI נעלמו בתוך 24 שעות. זה קצר מחלק ממחזורי הסריקה של כלי CNAPP.
החוקרים בדקו גם מה אפשר למצוא בפנים. הם ניתחו 24 צילומי RDS ציבוריים. מזהה חשבון AWS הופיע בכל אחד מהם. הם חיפשו גם סודות, כתובות מייל, מפתחות פרטיים ופרטי כרטיסי אשראי. אחרי שאישרו את הממצאים הראשונים הם הפסיקו לחלץ. לפי Cyber Security News, בין הממצאים היו כתובות מייל, דפוסי סודות ומפתחות פרטיים. היו גם סימנים לנתונים פיננסיים.
איך תוקף מנצל ShutterGap, ומה AWS אומרת
הגילוי כמעט מיידי, כי כל חשבון יכול לרשום משאבים ציבוריים. התוקף צריך שהחשיפה תימשך רק מספיק זמן כדי להתחיל העתקה לחשבון שלו. אחר כך הוא משחזר את מסד הנתונים ובודק אותו בנחת. אפשר להפוך את כל התהליך לאוטומטי.
Aryon מדגישה שזו אינה חולשה של AWS אלא טעות תצורה של לקוחות. תיעוד AWS מזהיר מפני הכנסת מידע רגיש למשאבים ציבוריים. לכן המחקר טוען שמניעה חשובה מזיהוי: מי שמחכה לסריקה כבר איחר.
מה זה אומר עבורכם
- חסמו שיתוף ציבורי: השתמשו במדיניות SCP שמונעת את
rds:ModifyDBSnapshotAttributeואתrds:ModifyDBClusterSnapshotAttribute. בדקו מראש, כי זה חוסם גם שיתוף פרטי בין חשבונות. - הצפינו מסדי נתונים חדשים: דרשו הצפנה ב-RDS. אי אפשר לפתוח לציבור צילום של מסד עם הצפנה. עם זאת, הכלל לא חל אחורה על מסדים קיימים.
- השאירו את חסימת AMI: חסימת השיתוף הציבורי של AMI פועלת כברירת מחדל. מנעו כיבוי שלה עם
ec2:DisableImageBlockPublicAccess. - הפעילו חסימה ל-SSM: במסמכי SSM החסימה כבויה כברירת מחדל. הפעילו אותה בחשבון, ואז מנעו שינוי של ההגדרה במדיניות SCP.
- בדקו אחורה: חפשו ב-CloudTrail 90 ימים אחורה את
ModifyDBSnapshotAttribute,ModifyImageAttributeו-ModifyDocumentPermission.
מה כדאי להבין לפני שמיישמים
Aryon מציינת שהדוגמאות למדיניות הן נקודת פתיחה בלבד. הן דורשות כיול לפני הפעלה בייצור. חסימה גורפת עלולה לשבש עבודה לגיטימית. דוגמה: שיתוף פרטי של צילומים בין חשבונות באותו ארגון.
Aryon ממליצה להציב חריגים במקומות שבהם יש צורך בשיתוף פרטי בין חשבונות. אצלכם, כדאי להתחיל בסביבת בדיקה ורק אז להרחיב. כך מקבלים מניעה בלי לעצור עבודה שוטפת.
מקורות והרחבה
- ShutterGap: Millions of Cloud Resources ExposedAryon Security
- ShutterGap Exposes Millions of AWS Resources Between Cloud Security ScansCyber Security News
- ShutterGap Exposes Millions of Misconfigured AWS Resources to AttackersGBHackers
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
