Mobile-Menu

Name-Confusion-Angriff Cyberkriminelle kapern AWS-Images und übernehmen Instanzen

Quelle: Pressemitteilung 2 min Lesedauer

Eine Sicherheitslücke in AWS betrifft den EC2-Dienst und seine Art und Weise, wie Amazon Machine Images ausgewählt und genutzt werden. Wird kein Besitzer vergeben, können Cyberkriminelle Code einschleusen. Amazon und Datadog haben Workarounds entwickelt.

Mithilfe sogenannter Name-Confusion-Angriffe sind Cyberkriminelle in der Lage, eine Sicherheitslücke in AWS auszunutzen und bösartigen Code einzuschleusen.(Bild: Dall-E / KI-generiert)
Mithilfe sogenannter Name-Confusion-Angriffe sind Cyberkriminelle in der Lage, eine Sicherheitslücke in AWS auszunutzen und bösartigen Code einzuschleusen.
(Bild: Dall-E / KI-generiert)

Für viele Unternehmen ist das Cloud-Angebot von Amazon Web Services (AWS) das Rückgrat ihrer digitalen Infrastruktur: Zugriff auf Netzwerke und Server, Speicherung von Daten, Entwicklung von Anwendungen, Kommunikation und vieles mehr. Laut Statista hatte AWS im dritten Quartal 2024 einen weltweiten Marktanteil von 33 Prozent. Umso folgenreicher sind die Auswirkungen von Sicherheitslücken im AWS-Code oder Fehlkonfigurationen. Eine solche entdeckte der Observability-Anbieter Datadog im August 2024 und veröffentlichte sie nun im Februar 2025, sechs Monate später.

In einem Blogpost schreiben die Sicherheitsforscher von Datadog, dass Unternehmen in den meisten Fällen auf vorgefertigte Amazon Machine Images (AMIs) zurückgreifen, um virtuelle Server (EC2-Instanzen) zu starten. Doch eine Sicherheitslücke mache es möglich, dass Angreifer manipulierte AMIs in Softwareprojekte einschleusen, die sich als offizielle Amazon-Images tarnen. Zwar hat AWS mit Version 0.11.0 des EC2-Dienstes das Problem behoben, die Einreichung einer CVE-Zuweisung durch Datadog jedoch abgelehnt.

Name-Confusion-Angriff auf Amazon-Images

Konkret handle es sich bei dieser Art von Attacke um einen Name-Confusion-Angriff, der eine Unterkategorie der Supply-Chain-Attacken darstelle. Bei einem Name-Confusion-Angriff veröffentlicht ein Angreifer eine bösartige Ressource mit der Absicht, falsch konfigurierte Software dazu zu bringen, diese anstelle der beabsichtigten Ressource zu verwenden. Wird bei der Suche nach AMIs nicht angegeben, wem das Image gehört – also kein „owner“ festgelegt wird – kann ein Cyberkrimineller ein bösartiges AMI mit einem Namen veröffentlichen, der dem eines legitimen Images ähnelt. Wenn die Software in AWS dann das neueste AMI basierend auf dem Namen auswählt, könnte sie versehentlich das bösartige Image des Angreifers verwenden. Dadurch erhält der Angreifer die Möglichkeit, Code innerhalb des AWS-Kontos des Opfers auszuführen.

Um dieses Risiko zu minimieren, empfiehlt es sich, bei der Suche nach Amazon Machine Images stets den Besitzer mit anzugeben. AWS hat zudem die Funktion „Allowd AMIs“ eingeführt, mit der Nutzer eine Liste vertrauenswürdiger AMI-Anbieter festlegen können. Zusätzlich hat Datadog ein Open-Source-Tool namens „whoAMI-scanner“ veröffentlicht, das dabei hilft, unzuverlässige AMIs in der eigenen Umgebung zu identifizieren.

(ID:50321497)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte