AWS IMDSv2 SSRF Protection

Définition

L'Instance Metadata Service (IMDS) AWS est un service interne aux instances EC2, accessible uniquement depuis l'instance elle-même via l'adresse IP non-routable 169.254.169.254. Il fournit des informations sur l'instance (AMI ID, zone de disponibilité) et, cruciale pour la sécurité, les credentials IAM temporaires du rôle IAM attaché à l'instance. Ces credentials permettent à l'application sur l'instance d'accéder aux services AWS sans stocker de clés IAM statiques. La vulnérabilité SSRF (Server-Side Request Forgery) contre l'IMDS est l'une des attaques cloud les plus courantes. Si une application web sur l'EC2 est vulnérable à SSRF, un attaquant peut forcer l'application à effectuer une requête HTTP vers http://169.254.169.254/latest/meta-data/iam/security-credentials/ROLE_NAME et récupérer les credentials IAM temporaires (AccessKeyId, SecretAccessKey, Token) du rôle de l'instance. Ces credentials permettent ensuite à l'attaquant d'agir avec les permissions IAM du rôle compromis. IMDSv2 (Instance Metadata Service version 2) mitigue cette attaque en imposant un mécanisme de session en deux étapes. L'application doit d'abord effectuer une requête PUT vers http://169.254.169.254/latest/api/token avec un TTL pour obtenir un token de session, puis utiliser ce token dans les requêtes GET suivantes. Les attaques SSRF basiques (qui effectuent uniquement des requêtes GET) ne peuvent pas obtenir le token de session car elles ne peuvent pas effectuer des requêtes PUT (les applications vulnérables à SSRF sont généralement limitées aux GET ou ne peuvent pas ajouter des en-têtes personnalisés). L'activation d'IMDSv2 est recommandée sur toutes les instances EC2. Elle peut être imposée via des SCP (Service Control Policies) AWS Organizations ou des IAM Permission Policies qui refusent les actions si aws:ec2-imds-version-token-request:present n'est pas true. Par défaut sur les nouvelles AMI Amazon Linux 2023, IMDSv2 est configuré en mode "required".