Entradas Mensuales

Síguenos en:

Canal Oficial Telegram de elhacker.NET Grupo Facebook elhacker.NET Twitter elhacker.NET Canal Youtube elhacker.NET Comunidad Steam: Grupo elhacker.NET Mastodon

Entradas populares

PostHeaderIcon Vulnerabilidad en AWS AgentCore: prompts logran extraer credenciales

Monday, October 12, 2026 | Posted by el-brujo

Una vulnerabilidad en Amazon Bedrock AgentCore que permitía a atacantes extraer credenciales mediante SSRF. Esto exponía datos sensibles y el control de otros agentes, problema que AWS ya ha solucionado.




Bob, posiblemente el mismo Bob cuyas conversaciones con Alice despiertan tanto interés en la espía Eve, estaba navegando por un sitio que llamaremos TechHub. El sitio aloja un agente de IA servido por Amazon Bedrock AgentCore. Bob pidió ayuda al agente para comprender el contenido de una URL, un endpoint de credenciales, en JSON puro, si no importa.

El endpoint devolvió datos del Instance Metadata Service (IMDS [IMDS]), que proporciona metadatos sobre instancias en la nube y máquinas virtuales en proveedores como AWS, Azure y Google Cloud Platform. Los metadatos incluyen detalles como la región y la zona de disponibilidad, subredes, imágenes del sistema, grupos de seguridad, claves públicas inyectadas durante la creación, pero también detalles potencialmente más sensibles como datos de usuario y tokens de seguridad.

IMDSv2 aborda algunos de estos riesgos, pero cuando Bob estaba navegando a finales del año pasado, Bedrock AgentCore todavía utilizaba IMDSv1.


Los metadatos proporcionados a Bob por el servicial agente contenían las credenciales temporales del agente. Así que Bob las cargó en su máquina local y enumeró remotamente otros agentes de la empresa en esa región de AWS. Luego inició sesión en el Amazon Elastic Container Registry (ECR), extrajo las imágenes del contenedor del agente y ejecutó cada una como root para inspeccionar el código fuente.


Las credenciales robadas también permitieron a Bob descubrir los recursos de memoria disponibles en esa región de AWS, incluidos los utilizados por los agentes. A partir de estos, pudo extraer los usuarios y sus sesiones de agente: sus conversaciones.




Investigadores de Zenity Labs revelaron sus hallazgos a AWS en diciembre de 2025.

"Descubrimos que los agentes desplegados a través de AgentCore podían acceder a los endpoints IMDS de su instancia", dijeron Tamir Ishay Sharbat y Lana Salameh en una publicación de blog [enlace]. "Esto significaba que un atacante externo con nada más que acceso al chat de un único agente expuesto podría enviar un solo prompt, extraer sus credenciales IMDS y utilizarlas para tomar el control de todos los agentes de AgentCore en la misma cuenta y región de AWS".

El problema básico, explican, es que la MicroVM Firecracker utilizada por AgentCore no proporcionaba un aislamiento de red suficiente. Por lo tanto, un atacante —sé que están pensando que era Mallory, pero en realidad era Bob— podía dirigir al agente para llevar a cabo un ataque de falsificación de solicitud del lado del servidor (SSRF [SSRF]) obteniendo credenciales temporales de AWS para el rol de IAM asignado a la carga de trabajo.

Y debido a que el rol predeterminado de AgentCore tenía exceso de permisos —estaba configurado para todos los recursos de AgentCore en la región en lugar de un solo agente— cualquiera que poseyera las credenciales temporales de IAM podía lanzar otros agentes, leer sesiones, escribir memorias de agentes y obtener secretos de AWS Secrets Manager.

"Aprovechando las credenciales IMDS, podíamos enviar solicitudes directas de API para crear nuevas memorias en diferentes agentes y usuarios", dijeron Sharbat y Salameh. "Estas, a su vez, alterarían persistentemente el comportamiento del agente y secuestrarían los objetivos de los agentes en sesiones futuras".

Los investigadores de Zenity contaron la historia de Bob, o algo parecido, a AWS el pasado diciembre, y luego hicieron un seguimiento en enero de 2026 con detalles sobre los privilegios excesivos de AgentCore. El 12 de abril de 2026, AWS respondió al sector de la seguridad que su informe era "informativo" y cerró el reporte, señalando que, a partir del 14 de febrero de 2026, AgentCore había sido actualizado para utilizar exclusivamente IMDSv2.

Los permisos excesivos de AgentCore permanecieron vigentes al menos hasta el 22 de junio de 2026, cuando Zenity comprobó que el problema no había sido remediado. Una revisión final de Zenity ocurrió el 29 de septiembre de 2026, momento en el cual la empresa observó que AWS había solucionado los problemas existentes, allanando el camino para que la aventura hipotética de Bob [enlace] fuera finalmente contada. 

Fuente:
TheRegister

Labels: , , , , , , ,

0 comments :

Post a Comment

Los comentarios pueden ser revisados en cualquier momento por los moderadores.

Serán publicados aquellos que cumplan las siguientes condiciones:
- Comentario acorde al contenido del post.
- Prohibido mensajes de tipo SPAM.
- Evite incluir links innecesarios en su comentario.
- Contenidos ofensivos, amenazas e insultos no serán permitidos.

Debe saber que los comentarios de los lectores no reflejan necesariamente la opinión del STAFF.