Ecscape 模組曝出高風險漏洞，衝擊開源供應鏈安全
隨著軟體部署程序的普及，越來越多的企業選擇在雲端環境中運行其應用程式，而Amazon Elastic Container Service (ECS) 作為AWS上重要的容器協調服務，其安全性至關重要。然而，資安研究員近日揭露一個名為「ECScape」的嚴重漏洞，此漏洞可能會讓惡意行為者在雲端環境中進行「權限提升」與「橫向移動」，對企業的雲端資產造成巨大威脅。
所發現的漏洞，提供了一條完整的權限提升攻擊鏈。其核心問題在於，當多個容器運行在同一個EC2執行個體上時，一個權限較低且已被入侵的部署程序，能夠利用此漏洞竊取同一台主機上其他權限較高部署程序的IAM（Identity and Access Management）憑證。一旦憑證被竊取，駭客便能假冒高權限部署程序的身分，進行橫向移動，存取敏感資料，並最終全面控制整個雲端環境。
ECScape漏洞的攻擊鏈解析
ECScape的攻擊之所以能夠成功，是因為它巧妙地利用了兩個關鍵機制：
- 未公開的ECS內部通訊協定：研究人員發現，ECS代理程式（Agent）與Amazon的Agent Communication Service (ACS) 之間存在一個未公開的內部通訊協定。這個協定允許代理程式透過WebSocket通道進行驗證與通訊。
- 中繼資料服務（Metadata Service）的臨時憑證：雖然每個部署程序都應該有其專屬的IAM角色與憑證，但這些憑證是透過ECS代理程式提供的中繼資料服務來取得，ECScape攻擊正是鎖定此環節。
攻擊的流程如下
- 取得主機IAM角色憑證：攻擊者首先需入侵一個運行在EC2執行個體上的低權限容器，並設法取得該主機本身的IAM角色憑證。
- 收集識別碼：駭客隨後會收集ECS代理程式的各種識別碼，例如叢集名稱、執行個體ID等。
- 偽造簽署請求：利用先前取得的憑證和識別碼，攻擊者可以偽造一個合法且簽署過的請求，向ACS WebSocket發起連線。
- 竊取所有任務憑證：一旦成功偽裝成ECS代理程式，駭客就能從ACS取得該執行個體上所有正在運行的部署程序（任務）的臨時IAM憑證。
最令人擔憂的是，這個惡意會話能夠完全模仿正常ECS代理程式的行為，使得其在網路流量中難以被發現，極具隱蔽性。
Amazon的回應與緩解措施
Amazon在接獲通知後已確認了此問題，並建議客戶立即採取措施來降低風險：
- 使用AWS Fargate：這是Amazon為客戶提供的最根本解決方案。AWS Fargate是一種無伺服器部署程序運算引擎，它能為每個部署程序提供專屬的運算環境和更強的隔離性，從根本上避免了多個部署程序共享同一主機所帶來的風險。
- 限制執行個體中繼資料服務存取：企業應嚴格限制容器對中繼資料服務的存取。在不影響業務運作的前提下，可以考慮關閉或限制此服務，以防止惡意部署程序竊取IAM憑證。
- 限制ECS代理程式的權限：企業應遵循最小權限原則，嚴格審視並限制ECS代理程式的IAM權限，確保其僅擁有執行任務所需的最低權限。
結論
ECScape漏洞再次提醒我們，即使是看似安全的雲端服務，也可能存在潛在的資安風險。容器化技術的普及，也帶來了新的攻擊面。企業在享受雲端彈性與便利的同時，必須將資安防護提升到首要考量。透過採用更強的隔離模型（如Fargate）、嚴格控管權限、並持續監控網路行為，才能有效建立一道堅實的防線，保護其雲端資產免於來自內外部的威脅。
資料來源：https://thehackernews.com/2025/08/researchers-uncover-ecscape-flaw-in.html
資安研究員揭露Amazon ECS存在名為「ECScape」的嚴重漏洞，此漏洞允許權限較低的容器竊取同一EC2主機上高權限容器的IAM憑證，進而導致橫向移動與對雲端環境的全面控制。