Công ty bảo mật đám mây Wiz đã tiết lộ rằng họ đã phát hiện việc khai thác trong thực tế một lỗ hổng bảo mật trong tiện ích Linux có tên Pandoc như một phần của các cuộc tấn công nhằm xâm nhập Amazon Web Services (AWS) Instance Metadata Service (IMDS).
Lỗ hổng đang được đề cập là CVE-2025-51591 (điểm CVSS: 6.5), đây là một trường hợp Server-Side Request Forgery (SSRF) cho phép kẻ tấn công xâm phạm hệ thống mục tiêu bằng cách chèn một phần tử iframe HTML được chế tạo đặc biệt.
EC2 IMDS là một thành phần quan trọng của môi trường đám mây AWS, cung cấp thông tin về các instance đang chạy, cũng như các credentials tạm thời, có thời hạn ngắn nếu một IAM role được liên kết với instance. Metadata của instance có thể truy cập được bởi bất kỳ ứng dụng nào chạy trên một instance EC2 thông qua một link-local address (169.254.169[.]254).
Các credentials này sau đó có thể được sử dụng để tương tác an toàn với các dịch vụ AWS khác như S3, RDS hoặc DynamoDB, cho phép các ứng dụng xác thực mà không cần lưu trữ credentials trên máy, từ đó giảm thiểu rủi ro bị lộ ngẫu nhiên.
Một trong những phương pháp phổ biến mà kẻ tấn công có thể sử dụng để đánh cắp IAM credentials từ IMDS là thông qua các lỗ hổng SSRF trong các ứng dụng web. Điều này về cơ bản liên quan đến việc lừa ứng dụng đang chạy trên một instance EC2 gửi một yêu cầu tìm kiếm IAM credentials từ dịch vụ IMDS thay mặt nó.
"Nếu ứng dụng có thể tiếp cận điểm cuối IMDS và dễ bị tấn công SSRF, kẻ tấn công có thể thu thập các credentials tạm thời mà không cần bất kỳ quyền truy cập máy chủ trực tiếp nào (chẳng hạn như RCE hoặc path traversal)," các nhà nghiên cứu Wiz Hila Ramati và Gili Tikochinski cho biết.
Do đó, một kẻ tấn công đang tìm cách nhắm mục tiêu vào hạ tầng AWS có thể tìm kiếm các lỗ hổng SSRF trong các ứng dụng web đang chạy trên các instance EC2 và, khi tìm thấy, truy cập metadata của instance và đánh cắp IAM credentials. Đây không phải là một mối đe dọa lý thuyết.
Từ đầu năm 2022, Mandiant, thuộc sở hữu của Google, đã phát hiện rằng một tác nhân đe dọa mà họ theo dõi là UNC2903 đã tấn công các môi trường AWS bằng cách lạm dụng các credentials thu được bằng IMDS kể từ tháng 7 năm 2021, khai thác một lỗ hổng SSRF (CVE-2021-21311, điểm CVSS: 7.2) trong Adminer, một công cụ quản lý cơ sở dữ liệu mã nguồn mở, để tạo điều kiện đánh cắp dữ liệu.
Vấn đề cốt lõi phát sinh từ việc IMDS, hay cụ thể hơn là IMDSv1, là một giao thức yêu cầu và phản hồi, khiến nó trở thành một mục tiêu hấp dẫn cho các tác nhân xấu nhắm vào các ứng dụng web dễ bị khai thác cũng đang chạy IMDSv1.
 |
| Nguồn ảnh: Datadog |
Trong một báo cáo được công bố vào tháng trước, Resecurity cảnh báo rằng khi SSRF bị khai thác chống lại hạ tầng đám mây như AWS, nó có thể gây ra những hậu quả "nghiêm trọng và sâu rộng", dẫn đến việc đánh cắp credentials đám mây, trinh sát mạng và truy cập trái phép vào các dịch vụ nội bộ.
"Vì SSRF bắt nguồn từ bên trong máy chủ, nó có thể tiếp cận các điểm cuối được bảo vệ bởi tường lửa biên. Điều này biến ứng dụng dễ bị tấn công thành một proxy, cho phép kẻ tấn công: Vượt qua IP whitelists [và] tiếp cận các tài sản nội bộ không thể truy cập được," báo cáo cho biết.
Những phát hiện mới nhất từ Wiz chứng minh rằng các cuộc tấn công nhắm vào dịch vụ IMDS vẫn đang tiếp diễn, với những kẻ tấn công lợi dụng các lỗ hổng SSRF trong các ứng dụng ít được biết đến như Pandoc để thực hiện.
"Lỗ hổng, được theo dõi là CVE-2025-51591, bắt nguồn từ việc Pandoc rendering <iframe> tags trong các tài liệu HTML," các nhà nghiên cứu Wiz cho biết. "Điều này sẽ cho phép kẻ tấn công tạo ra một <iframe> trỏ đến máy chủ IMDS, hoặc các tài nguyên riêng tư khác."
"Kẻ tấn công đã gửi các tài liệu HTML được chế tạo chứa các phần tử <iframe> có thuộc tính src nhắm mục tiêu đến điểm cuối AWS IMDS tại 169.254.169[.]254. Mục tiêu là rendering và exfiltrate nội dung của các đường dẫn nhạy cảm, cụ thể là /latest/meta-data/iam/info và /latest/meta-data/iam."
Wiz cho biết cuộc tấn công cuối cùng đã không thành công nhờ việc thực thi IMDSv2, vốn theo định hướng phiên và giảm thiểu cuộc tấn công SSRF bằng cách yêu cầu người dùng lấy token trước và sử dụng token đó trong tất cả các yêu cầu gửi đến IMDS thông qua một tiêu đề đặc biệt (X-aws-ec2-metadata-token).
Công ty đã nói với The Hacker News rằng họ đã quan sát các nỗ lực khai thác trong thực tế "có từ tháng 8 và kéo dài trong vài tuần," đồng thời cho biết họ cũng tìm thấy những nỗ lực tiếp tục từ các tác nhân đe dọa không xác định nhằm lạm dụng một lỗ hổng SSRF khác trong ClickHouse để xâm nhập không thành công vào Google Cloud Platform của một mục tiêu.
Để giảm thiểu rủi ro do CVE-2025-51591 gây ra trong môi trường đám mây, khuyến nghị sử dụng cờ "-f html+raw_html" hoặc tùy chọn "--sandbox" để ngăn Pandoc bao gồm nội dung của các phần tử iframe thông qua thuộc tính src.
"[Người duy trì Pandoc] đã quyết định rằng việc rendering iframes là hành vi có chủ đích và người dùng có trách nhiệm làm sạch đầu vào hoặc sử dụng các cờ sandbox khi xử lý đầu vào của người dùng," Wiz cho biết.
"Mặc dù Amazon khuyến nghị triển khai IMDSv2 với các cải tiến GuardDuty, nhưng các instance EC2 được tạo bởi khách hàng của Amazon nếu thay vào đó sử dụng IMDSv1 có thể gặp rủi ro khi kết hợp với việc chạy phần mềm bên thứ ba dễ bị tấn công chưa được vá lỗi," các nhà nghiên cứu Mandiant đã cảnh báo vào thời điểm đó.
Các tổ chức được khuyến nghị thực thi IMDSv2 trên tất cả các instance EC2 và đảm bảo rằng các instance được gán các role tuân theo nguyên tắc quyền hạn tối thiểu (PoLP) để hạn chế phạm vi ảnh hưởng trong trường hợp IMDS bị xâm phạm.
