AWS - Apigateway Privesc
Apigateway
अधिक जानकारी के लिए देखें:
apigateway:POST
apigateway:POST
इस अनुमति के साथ आप कॉन्फ़िगर की गई APIs के API कुंजी उत्पन्न कर सकते हैं (प्रति क्षेत्र)।
संभावित प्रभाव: आप इस तकनीक से प्रिवेस्क नहीं कर सकते लेकिन आपको संवेदनशील जानकारी तक पहुंच मिल सकती है।
apigateway:GET
apigateway:GET
इस अनुमति के साथ आप कॉन्फ़िगर की गई APIs के जनरेट किए गए API कुंजी प्राप्त कर सकते हैं (प्रति क्षेत्र)।
संभावित प्रभाव: आप इस तकनीक के साथ प्रिवेस्क नहीं कर सकते लेकिन आपको संवेदनशील जानकारी तक पहुंच मिल सकती है।
apigateway:UpdateRestApiPolicy
, apigateway:PATCH
apigateway:UpdateRestApiPolicy
, apigateway:PATCH
इन अनुमतियों के साथ, एक API की संसाधन नीति को संशोधित करना संभव है ताकि आप इसे कॉल करने और API गेटवे के संभावित पहुंच का दुरुपयोग कर सकें (जैसे कि एक कमजोर लैम्ब्डा को सक्रिय करना)।
संभावित प्रभाव: आप आमतौर पर इस तकनीक के साथ सीधे प्रिवेस्क नहीं कर पाएंगे लेकिन आपको संवेदनशील जानकारी तक पहुंच मिल सकती है।
apigateway:PutIntegration
, apigateway:CreateDeployment
, iam:PassRole
apigateway:PutIntegration
, apigateway:CreateDeployment
, iam:PassRole
परीक्षण की आवश्यकता
एक हमलावर जिसके पास apigateway:PutIntegration
, apigateway:CreateDeployment
, और iam:PassRole
की अनुमति है, एक मौजूदा API Gateway REST API में एक नया इंटीग्रेशन जोड़ सकता है जिसमें एक IAM भूमिका संलग्न Lambda फ़ंक्शन है। फिर हमलावर Lambda फ़ंक्शन को मनमाने कोड को निष्पादित करने के लिए ट्रिगर कर सकता है और संभावित रूप से IAM भूमिका से संबंधित संसाधनों तक पहुंच प्राप्त कर सकता है।
संभावित प्रभाव: लैम्ब्डा फ़ंक्शन के IAM भूमिका से जुड़े संसाधनों तक पहुँच।
apigateway:UpdateAuthorizer
, apigateway:CreateDeployment
apigateway:UpdateAuthorizer
, apigateway:CreateDeployment
परीक्षण की आवश्यकता है
एक हमलावर जिसके पास apigateway:UpdateAuthorizer
और apigateway:CreateDeployment
की अनुमति है, एक मौजूदा API गेटवे ऑथराइज़र को संशोधित कर सकता है ताकि सुरक्षा जांचों को बायपास किया जा सके या API अनुरोध किए जाने पर मनमाने कोड को निष्पादित किया जा सके।
संभावित प्रभाव: सुरक्षा जांचों को बायपास करना, API संसाधनों तक अनधिकृत पहुंच।
apigateway:UpdateVpcLink
apigateway:UpdateVpcLink
परीक्षण की आवश्यकता
एक हमलावर जिसके पास अनुमति apigateway:UpdateVpcLink
है, एक मौजूदा VPC लिंक को एक अलग नेटवर्क लोड बैलेंसर की ओर मोड़ सकता है, संभावित रूप से निजी API ट्रैफ़िक को अनधिकृत या दुर्भावनापूर्ण संसाधनों की ओर पुनर्निर्देशित कर सकता है।
संभावित प्रभाव: निजी API संसाधनों तक अनधिकृत पहुंच, API ट्रैफ़िक का अवरोध या विघटन।
Last updated