Критична уязвимост в AWS Systems Manager Agent би могла да позволи на автентикирани атакуващи да заобиколят ограниченията за пренасочване на портове към отдалечени хостове и да получат достъп до чувствителни link-local услуги, включително Amazon EC2 Instance Metadata Service.

Уязвимостта, проследявана като CVE-2026-89049, засяга версии на Amazon SSM Agent, по-стари от 3.3.4851.0, и е отстранена във версия 3.3.4851.0.

AWS Systems Manager Agent се изпълнява на Amazon EC2 инстанции, локални сървъри и виртуални машини, за да осигури възможности за отдалечено управление, като например Run Command и Session Manager.

Session Manager поддържа и пренасочване на портове, което позволява на оторизирани потребители да създават защитени тунели от управлявана инстанция към отдалечена дестинация, без да излагат на риск входящи мрежови портове.

Проблемът съществува във функцията за пренасочване на портове към отдалечен хост, използвана чрез SSM документа AWS-StartPortForwardingSessionToRemoteHost.

Уязвимост в AWS Systems Manager Agent

Според бюлетина за сигурност в GitHub, защитата с черен списък (denylist) на агента за link-local адреси може да бъде заобиколена, тъй как той не валидира правилно еквивалентните представяния на адресите.

Link-local IP адресите обикновено са блокирани, тъй като могат да разкрият вътрешни облачни услуги, които не трябва да бъдат достъпни през контролирани от потребителя тунели. Основна цел е EC2 Instance Metadata Service, която обикновено е достъпна на 169.254.169.254.

Тази услуга може да предостави временни идентификационни данни, свързани с IAM ролята, прикрепена към EC2 инстанцията. Атакуващият трябва вече да има автентикиран достъп до AWS и разрешение да инициира сесия за пренасочване на портове към отдалечен хост.

Въпреки това, успешната експлоатация би могла да позволи на този потребител да насочва трафик към ограничени link-local крайни точки, използвайки алтернативно представяне на блокиран адрес на дестинация. Уязвимостта е класифицирана като подправяне на заявки от страна на сървъра (Server-Side Request Forgery или SSRF) и неправилна валидация на опасни еквивалентни данни.

Ако атакуващият извлече идентификационни данни за профила на инстанцията от метаданните, той би могъл да използва тези данни извън компрометираната EC2 инстанция, за да извършва запитвания към AWS API. Реалното въздействие зависи от правата, назначени на IAM ролята на инстанцията.

Прекомерно разрешаващите роли биха могли да осигурят достъп до S3 контейнери, тайни в Secrets Manager, бази данни, Lambda функции или други облачни ресурси.

Бюлетинът определя критично ниво на сериозност на уязвимостта с CVSS v3.1 вектор AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H. Това показва, че експлоатацията е достъпна по мрежата, изисква ниска сложност и ниски привилегии, не се нуждае от взаимодействие с потребителя и може да засегне поверителността, целостта и наличността.

Организациите трябва незабавно да обновят засегнатите системи до SSM Agent версия 3.3.4851.0 или по-нова. AWS също препоръчва преглед на форкнати или производни разновидности на агента, за да се гарантира, че съдържат корекцията за валидация.

До пълното инсталиране на корекциите за сигурност, администраторите трябва да ограничат достъпа до документа AWS-StartPortForwardingSessionToRemoteHost. IAM правата за ssm:StartSession трябва да бъдат ограничени така, че ненадеждни потребители, автоматизирани идентичности и широко назначени роли да не могат да създават сесии за пренасочване на портове към отдалечен хост.

Екипите по сигурност трябва допълнително да одитират активността в Session Manager, да прегледат IAM ролите, прикрепени към EC2 инстанциите, и да приложат контроли за минимални привилегии към профилите на инстанциите.

Конфигурацията на Amazon SSM Agent включва списък по подразбиране с блокирани метаданни и link-local крайни точки. Тази уязвимост обаче демонстрира защо валидацията на адреси трябва да отчита алтернативни представяния, вместо да разчита единствено на директно съпоставяне на символни низове.