クラウドメタデータ SSRF.

脆弱なアプリを介してクラウド事業者のインスタンスメタデータサービスを問い合わせさせ、一時的な資格情報を盗むサーバーサイドリクエストフォージェリ攻撃。 サイバーセキュリティの クラウドセキュリティ カテゴリに属します。

脆弱なアプリを介してクラウド事業者のインスタンスメタデータサービスを問い合わせさせ、一時的な資格情報を盗むサーバーサイドリクエストフォージェリ攻撃。

クラウドメタデータ SSRF は、ユーザーに代わって URL を取得するアプリケーションを悪用し、背後の仮想マシンに自身のインスタンスメタデータサービス(IMDS、通常 169.254.169.254)を問い合わせさせる攻撃です。応答には環境情報のほか、インスタンスロールに紐づく短命の IAM 資格情報が含まれます。2019 年の Capital One 漏洩事件(Paige Thompson に帰属)は、設定不備の AWS WAF に対しこの手法を使って資格情報を取得し、S3 から 1 億件以上の顧客レコードをダウンロードしました。対策としてはセッショントークン付きの IMDSv2 強制、169.254.169.254 への出口フィルタリング、最小権限のインスタンスロール、厳格な SSRF 入力検証が挙げられます。

クラウドメタデータ SSRF に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: インスタンスメタデータ SSRF, IMDS SSRF。