AWS - ECR Privesc
ECR
ecr:GetAuthorizationToken
,ecr:BatchGetImage
ecr:GetAuthorizationToken
,ecr:BatchGetImage
Зловмисник з ecr:GetAuthorizationToken
та ecr:BatchGetImage
може увійти в ECR та завантажити зображення.
Для отримання додаткової інформації про те, як завантажити зображення:
Potential Impact: Непряме підвищення привілеїв шляхом перехоплення чутливої інформації в трафіку.
ecr:GetAuthorizationToken
, ecr:BatchCheckLayerAvailability
, ecr:CompleteLayerUpload
, ecr:InitiateLayerUpload
, ecr:PutImage
, ecr:UploadLayerPart
ecr:GetAuthorizationToken
, ecr:BatchCheckLayerAvailability
, ecr:CompleteLayerUpload
, ecr:InitiateLayerUpload
, ecr:PutImage
, ecr:UploadLayerPart
Зловмисник з усіма цими дозволами може увійти в ECR та завантажити зображення. Це може бути корисно для підвищення привілеїв до інших середовищ, де використовуються ці зображення.
Щоб дізнатися, як завантажити нове зображення/оновити одне, перевірте:
ecr-public:GetAuthorizationToken
, ecr-public:BatchCheckLayerAvailability, ecr-public:CompleteLayerUpload
, ecr-public:InitiateLayerUpload, ecr-public:PutImage
, ecr-public:UploadLayerPart
ecr-public:GetAuthorizationToken
, ecr-public:BatchCheckLayerAvailability, ecr-public:CompleteLayerUpload
, ecr-public:InitiateLayerUpload, ecr-public:PutImage
, ecr-public:UploadLayerPart
Як у попередньому розділі, але для публічних репозиторіїв.
ecr:SetRepositoryPolicy
ecr:SetRepositoryPolicy
Зловмисник з цим дозволом може змінити політику репозиторію, щоб надати собі (або навіть усім) доступ на читання/запис. Наприклад, у цьому прикладі доступ на читання надається всім.
Зміст my-policy.json
:
ecr-public:SetRepositoryPolicy
ecr-public:SetRepositoryPolicy
Як і в попередньому розділі, але для публічних репозиторіїв. Зловмисник може змінити політику репозиторію публічного репозиторію ECR, щоб надати несанкціонований публічний доступ або для ескалації своїх привілеїв.
Потенційний вплив: Несанкціонований публічний доступ до репозиторію ECR Public, що дозволяє будь-якому користувачу завантажувати, витягувати або видаляти зображення.
ecr:PutRegistryPolicy
ecr:PutRegistryPolicy
Зловмисник з цим дозволом може змінити політику реєстру, щоб надати собі, своєму обліковому запису (або навіть усім) доступ на читання/запис.
Last updated