Cloud-Instance-Metadata-Endpunkte: warum IMDSv2-Token und ein Hop-Limit von 1 SSRF entschärfen

Worum es geht

Cloud-Anbieter betreiben einen Instance-Metadata-Dienst auf einer link-lokalen Adresse, die von innerhalb jeder virtuellen Maschine erreichbar ist. Bei AWS liefert er Instanzdetails und, falls eine IAM-Rolle angehängt ist, temporäre Zugangsdaten für diese Rolle. Jeder Prozess, der von der Instanz aus HTTP-Anfragen stellen kann, kann sie anfordern.

AWS bietet zwei Modi. IMDSv1 beantwortet einfache GET-Anfragen. IMDSv2 erfordert zuerst ein mit einer PUT-Anfrage bezogenes Sitzungstoken; die Dokumentation besagt, dass solche PUT-Anfragen abgelehnt werden, wenn sie einen X-Forwarded-For-Header enthalten, und dass die Antwort auf das PUT standardmässig ein Hop-Limit (IP-Time-to-Live) von 1 hat.

Warum es wichtig ist

Eine Server-Side-Request-Forgery-Schwachstelle (SSRF) oder ein Agent mit einem URL-Fetch-Werkzeug, der auf einer Cloud-VM läuft, kann auf die Metadata-Adresse gerichtet werden. Mit IMDSv1 kann ein einzelnes GET Zugangsdaten liefern. IMDSv2 setzt die Hürde höher: Eine typische SSRF-Primitive kann nur GET-Anfragen mit von Angreifenden kontrollierten URLs senden, kein PUT mit einem benutzerdefinierten Header, und das Hop-Limit von 1 verhindert, dass die Token-Antwort einen Prozess erreicht, der einen Netzwerk-Hop entfernt liegt, etwa einen Container in einem Bridged-Netzwerk.

So wird es angewendet

• IMDSv2 auf allen Instanzen erzwingen (HTTP-Token auf «required» setzen) und prüfen, dass die verwendeten SDKs es unterstützen; AWS merkt an, dass aktuelle SDKs dies tun.
• Das Hop-Limit bei 1 belassen, ausser eine Container-Arbeitslast benötigt tatsächlich Metadaten; AWS nennt Container-Dienste als üblichen Grund, es zu erhöhen. Stattdessen Containern bevorzugt eigene Zugangsdaten über den Orchestrator geben.
• Instanzrollen mit dem geringstmöglichen Berechtigungsumfang ausstatten; die Berechtigungen der Rolle sind das, was ein Angreifer erhält.
• In SSRF-Abwehrmassnahmen und Agenten-Fetch-Werkzeugen link-lokale und private Adressbereiche nach der DNS-Auflösung blockieren und Weiterleitungen in diese Bereiche nicht folgen.
• Bei Verwendung von Metadata-Zugangsdaten von ausserhalb der Instanz alarmieren, was die Protokolle des Anbieters aufdecken können.

Stolpersteine

• IMDSv2 nur als optional aktivieren; IMDSv1 bleibt verfügbar, bis Token verpflichtend sind.
• Das Hop-Limit erhöhen, um einen Container zu reparieren, und es dadurch für alle offenlegen.
• Andere Cloud-Anbieter verwenden andere Header und Adressen; die Dokumentation jedes Anbieters prüfen, statt AWS-Einstellungen wiederzuverwenden.