شرکت آمازون یک آسیب‌پذیری امنیتی با شناسه CVE-2026-7461 را در سرویس Amazon ECS (Elastic Container Service) شناسایی کرده است. این نقص امنیتی از نوع OS Command Injection است و در بخش مدیریت اعتبارنامه‌های مربوط به Volumeهای FSx Windows File Server در Agentهای ECS رخ می‌دهد.
جزئیات فنی و اثرات
این آسیب‌پذیری زمانی رخ می‌دهد که یک عامل تهدید بتواند اعتبارنامه‌هایی (Credentials) را به صورت دستکاری شده در تعریف تسک‌های (Task Definitions) ECS قرار دهد. در صورتی که این تسک‌ها روی نمونه‌های EC2 ویندوزی اجرا شوند، مهاجم می‌تواند کدهای مخرب خود را با سطح دسترسی SYSTEM اجرا کند که بالاترین سطح دسترسی در سیستم‌عامل ویندوز است.
دامنه اثرگذاری
- نسخه‌های آسیب‌پذیر: نسخه‌های 1.47.0 تا 1.102.2 از ECS Agent برای ویندوز.
- سیستم‌های تحت تاثیر: تنها Worker Instanceهای ویندوزی در ECS متأثر شده‌اند.
- سیستم‌های ایمن: سرویس ECS on Fargate تحت تاثیر این آسیب‌پذیری نیست.
راهکارهای مقابله و رفع مشکل
این مشکل در نسخه 1.103.0 از ECS Agent برطرف شده است. توصیه می‌شود مدیران زیرساخت سریعاً اقدامات زیر را انجام دهند:
- به‌روزرسانی به آخرین نسخه از Amazon ECS-optimized Windows AMI که شامل Agent به‌روز شده است.
- در صورتی که به‌روزرسانی فوری AMI امکان‌پذیر نباشد، دسترسی
ecs:RegisterTaskDefinitionرا تنها به IAM Principals مورد اعتماد محدود کنید. - دسترسی‌های Write در Secrets Manager را برای Secretهایی که در پیکربندی‌های FSx Volume استفاده شده‌اند، محدود نمایید.
