AWS - Apigateway Privesc
Apigateway
Für weitere Informationen siehe:
apigateway:POST
apigateway:POST
Mit dieser Berechtigung kannst du API-Schlüssel der konfigurierten APIs (pro Region) generieren.
Potenzielle Auswirkungen: Sie können mit dieser Technik keine Privilegien erhöhen, aber Sie könnten Zugang zu sensiblen Informationen erhalten.
apigateway:GET
apigateway:GET
Mit dieser Berechtigung können Sie die generierten API-Schlüssel der konfigurierten APIs (pro Region) abrufen.
Potenzielle Auswirkungen: Mit dieser Technik können Sie keine Privilegien erhöhen, aber Sie könnten Zugang zu sensiblen Informationen erhalten.
apigateway:UpdateRestApiPolicy
, apigateway:PATCH
apigateway:UpdateRestApiPolicy
, apigateway:PATCH
Mit diesen Berechtigungen ist es möglich, die Ressourcenrichtlinie einer API zu ändern, um sich selbst den Zugriff zu gewähren, sie aufzurufen und potenzielle Zugriffe, die das API-Gateway haben könnte, auszunutzen (wie das Auslösen eines anfälligen Lambda).
Potenzielle Auswirkungen: Sie werden normalerweise nicht direkt mit dieser Technik privesc erreichen können, aber Sie könnten Zugang zu sensiblen Informationen erhalten.
apigateway:PutIntegration
, apigateway:CreateDeployment
, iam:PassRole
apigateway:PutIntegration
, apigateway:CreateDeployment
, iam:PassRole
Muss getestet werden
Ein Angreifer mit den Berechtigungen apigateway:PutIntegration
, apigateway:CreateDeployment
und iam:PassRole
kann eine neue Integration zu einer bestehenden API Gateway REST API mit einer Lambda-Funktion hinzufügen, die eine IAM-Rolle zugewiesen hat. Der Angreifer kann dann die Lambda-Funktion auslösen, um beliebigen Code auszuführen und möglicherweise Zugriff auf die mit der IAM-Rolle verbundenen Ressourcen zu erhalten.
Potenzielle Auswirkungen: Zugriff auf Ressourcen, die mit der IAM-Rolle der Lambda-Funktion verbunden sind.
apigateway:UpdateAuthorizer
, apigateway:CreateDeployment
apigateway:UpdateAuthorizer
, apigateway:CreateDeployment
Muss getestet werden
Ein Angreifer mit den Berechtigungen apigateway:UpdateAuthorizer
und apigateway:CreateDeployment
kann einen bestehenden API Gateway-Autorisierer ändern, um Sicherheitsüberprüfungen zu umgehen oder um beliebigen Code auszuführen, wenn API-Anfragen gestellt werden.
Potenzielle Auswirkungen: Umgehung von Sicherheitsprüfungen, unbefugter Zugriff auf API-Ressourcen.
apigateway:UpdateVpcLink
apigateway:UpdateVpcLink
Muss getestet werden
Ein Angreifer mit der Berechtigung apigateway:UpdateVpcLink
kann einen bestehenden VPC-Link ändern, um auf einen anderen Netzwerk-Load-Balancer zu verweisen, wodurch privater API-Verkehr möglicherweise an unbefugte oder bösartige Ressourcen umgeleitet wird.
Potenzielle Auswirkungen: Unbefugter Zugriff auf private API-Ressourcen, Abfangen oder Stören des API-Verkehrs.
Last updated