Cloud Metadata Exploitation

Définition

L'exploitation des métadonnées cloud (Cloud Metadata Exploitation) consiste à accéder à l'endpoint de métadonnées des instances cloud (disponible sur l'IP 169.254.169.254 ou via des URLs spécifiques selon le provider) pour voler les credentials IAM des rôles attribués à l'instance, permettant l'escalade vers d'autres ressources cloud. Cette technique est souvent la conséquence d'une SSRF (Server-Side Request Forgery). Les instances cloud (AWS EC2, GCP Compute Engine, Azure VMs) ont accès à un service de métadonnées local (Instance Metadata Service - IMDS) accessible uniquement depuis l'instance elle-même. Ce service retourne des informations sur l'instance et, cruciale pour la sécurité, les credentials temporaires IAM associés au rôle de l'instance. Pour AWS, l'endpoint http://169.254.169.254/latest/meta-data/iam/security-credentials/[role-name] retourne des credentials temporaires (Access Key ID, Secret Access Key, Session Token) avec les permissions du rôle IAM de l'instance. Si une SSRF permet à l'attaquant de faire des requêtes depuis l'instance vers cette URL, il obtient ces credentials et peut utiliser l'AWS CLI pour accéder à tous les services AWS autorisés par le rôle. Des instances cloud avec des rôles trop permissifs (principe de moindre privilège non appliqué) peuvent donner accès à des buckets S3 sensibles, des secrets Secrets Manager, des instances RDS, et même des permissions d'administration sur d'autres services AWS. Des cas réels incluent la compromission de Capital One en 2019 via SSRF → metadata → S3 (106 millions de clients exposés). AWS IMDSv2 (Instance Metadata Service version 2) requiert un header de session PUT avant de fournir les métadonnées, rendant les SSRF simples (qui ne peuvent généralement pas effectuer deux requêtes consécutives) inefficaces contre l'extraction de credentials.