Definition. Der Instance Metadata Service von AWS liefert einer EC2-Instanz unter 169.254.169.254 Metadaten, darunter temporäre Zugangsdaten ihrer IAM-Rolle. IMDSv2 verlangt dafür ein Sitzungs-Token, das per PUT angefordert wird. Die Antwort darauf hat ab Werk ein Hop-Limit von 1.

Warum relevant. Wer Code auf einer Instanz ausführt, kann über IMDS deren Rolle übernehmen. Auf Kubernetes-Nodes gilt das für jeden Pod, der IMDS erreicht. Die EKS-Best-Practices empfehlen deshalb für Pods, die die Node-Rolle nicht brauchen, IMDSv2 zu erzwingen und das Hop-Limit auf 1 zu setzen.

Beispiel. Nach dem LiteLLM-Vorfall im Oktober 2026 beobachtete Wiz, wie Angreifer erbeutete Instanzrollen von CI-Runnern und Kubernetes-Nodes nutzten.

Verwandt. Kubernetes Worker Node, NetworkPolicy, Supply-Chain-Angriff