Một lỗ hổng nghiêm trọng trong AWS Systems Manager Agent cho phép kẻ tấn công đã được xác thực bỏ qua các hạn chế chuyển tiếp cổng (port-forwarding) từ máy chủ từ xa và truy cập các dịch vụ link-local nhạy cảm, bao gồm cả Amazon EC2 Instance Metadata Service.
Lỗ hổng này, được theo dõi với mã định danh CVE-2026-89049, ảnh hưởng đến các phiên bản AWS SSM Agent trước phiên bản 3.3.4851.0. AWS đã khắc phục lỗ hổng này trong phiên bản 3.3.4851.0.
AWS Systems Manager Agent và Tính năng Port Forwarding
AWS Systems Manager Agent (SSM Agent) hoạt động trên các phiên bản Amazon EC2, máy chủ on-premises và máy ảo để cung cấp khả năng quản lý từ xa như Run Command và Session Manager. Session Manager hỗ trợ tính năng port forwarding, cho phép người dùng được ủy quyền tạo các đường hầm an toàn từ một phiên bản được quản lý đến một đích đến từ xa mà không làm lộ các cổng mạng inbound.
Vấn đề tồn tại trong tính năng remote-host port-forwarding được sử dụng thông qua tài liệu SSM có tên AWS-StartPortForwardingSessionToRemoteHost. Theo thông tin tư vấn từ GitHub, cơ chế bảo vệ danh sách đen (denylist) của agent đối với các địa chỉ link-local có thể bị bỏ qua do không xác thực đúng các biểu diễn địa chỉ tương đương.
Chi tiết về lỗ hổng bảo mật
Địa chỉ IP link-local thường bị chặn vì chúng có thể làm lộ các dịch vụ đám mây nội bộ không nên truy cập được thông qua các đường hầm do người dùng kiểm soát. Một mục tiêu chính là EC2 Instance Metadata Service, thường có sẵn tại địa chỉ 169.254.169.254. Dịch vụ này có thể cung cấp thông tin xác thực tạm thời liên kết với vai trò IAM đính kèm vào một phiên bản EC2.
Để khai thác thành công, kẻ tấn công cần có quyền truy cập AWS đã được xác thực và quyền khởi tạo một phiên remote-host port-forwarding. Tuy nhiên, việc khai thác thành công cho phép kẻ tấn công định tuyến lưu lượng truy cập đến các điểm cuối link-local bị hạn chế bằng cách sử dụng một biểu diễn thay thế của địa chỉ đích bị chặn. Lỗ hổng này được phân loại là Server-Side Request Forgery (SSRF) và lỗi xác thực không đầy đủ đầu vào không an toàn.
Nếu kẻ tấn công thu thập được thông tin xác thực profile phiên bản từ metadata service, họ có thể sử dụng các thông tin xác thực đó bên ngoài phiên bản EC2 bị xâm phạm để thực hiện các lệnh gọi API AWS. Tác động thực tế phụ thuộc vào các quyền được gán cho vai trò IAM của phiên bản.
Các vai trò có quyền quá rộng có thể cho phép truy cập vào các S3 bucket, bí mật trong Secrets Manager, cơ sở dữ liệu, hàm Lambda hoặc các tài nguyên đám mây khác.
Phân loại mức độ nghiêm trọng và Khuyến nghị
Cảnh báo bảo mật đã gán cho lỗ hổng này mức độ nghiêm trọng Critical với vector CVSS v3.1 là AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Điều này cho thấy lỗ hổng có thể bị khai thác qua mạng, yêu cầu độ phức tạp thấp và đặc quyền thấp, không cần tương tác người dùng và có thể ảnh hưởng đến tính bảo mật (Confidentiality), toàn vẹn (Integrity) và sẵn sàng (Availability).
Các tổ chức cần cập nhật ngay lập tức các hệ thống bị ảnh hưởng lên phiên bản SSM Agent 3.3.4851.0 trở lên. AWS cũng khuyến nghị xem xét các bản build agent đã được fork hoặc phái sinh để đảm bảo chúng đã tích hợp bản sửa lỗi xác thực.
Cho đến khi quá trình vá lỗi hoàn tất, quản trị viên nên hạn chế quyền truy cập vào tài liệu AWS-StartPortForwardingSessionToRemoteHost. Quyền IAM cho ssm:StartSession cần được giới hạn để người dùng không tin cậy, các định danh tự động hóa và vai trò được gán rộng rãi không thể thiết lập các phiên remote-host port-forwarding.
Các nhóm bảo mật nên kiểm tra hoạt động của Session Manager, xem xét các vai trò IAM đính kèm vào các phiên bản EC2 và áp dụng các biện pháp kiểm soát đặc quyền tối thiểu cho profile phiên bản. Cấu hình Amazon SSM Agent bao gồm một danh sách mặc định các điểm cuối metadata và link-local bị từ chối. Tuy nhiên, lỗ hổng này cho thấy lý do tại sao việc xác thực địa chỉ phải tính đến các biểu diễn thay thế thay vì chỉ dựa vào việc so khớp chuỗi ký tự đơn giản.
Tìm hiểu 7 Giai đoạn Triển khai AI SOC theo Số liệu – Tải xuống Miễn phí AI SOC Deployment Playbook 2026 (AI SOC Deployment Playbook).
