IMDSv2

Définition

IMDSv2 (Instance Metadata Service v2) est la version sécurisée du service de métadonnées d'instance AWS, introduit en 2019 pour remédier aux vulnérabilités SSRF permettant à des attaquants d'accéder aux credentials IAM des instances EC2. IMDSv2 utilise un schéma d'authentification par token de session (session-oriented) qui rend les attaques SSRF classiques inefficaces. L'endpoint de métadonnées d'instance (http://169.254.169.254) est accessible uniquement depuis l'instance EC2 elle-même et fournit des informations critiques : identité de l'instance, région, credentials IAM temporaires du rôle associé (Instance Profile), données utilisateur (user data), clés SSH, et bien d'autres métadonnées. Ces informations sont essentielles pour de nombreuses applications cloud-native, mais aussi pour les attaquants. Avec IMDSv1, n'importe quelle requête HTTP GET vers l'endpoint de métadonnées retourne immédiatement les informations demandées, y compris les credentials IAM. Une vulnérabilité SSRF dans une application web permettait donc à un attaquant de voler ces credentials en faisant effectuer la requête par le serveur vulnérable. IMDSv2 résout ce problème en requérant : 1. Une requête PUT vers l'endpoint pour obtenir un token de session (TTL 1s à 21600s) 2. Ce token dans chaque requête GET suivante (header X-aws-ec2-metadata-token) Les attaques SSRF classiques utilisent généralement des requêtes GET ; la requête PUT bidirectionnelle initiale n'est pas possible dans la majorité des scénarios SSRF, bloquant ainsi le vol de credentials. La migration vers IMDSv2 nécessite la mise à jour des applications utilisant l'ancien endpoint IMDS. Les AWS SDKs récents supportent IMDSv2 automatiquement. La désactivation forcée d'IMDSv1 peut être réalisée instance par instance, via le compte AWS (ModifyInstanceMetadataDefaults), ou via des SCP/AWS Config Rules pour imposer IMDSv2 à l'échelle de l'organisation.