GCP - Cloudfunctions Privesc
cloudfunctions
Mehr Informationen über Cloud Functions:
GCP - Cloud Functions Enumcloudfunctions.functions.create
, cloudfunctions.functions.sourceCodeSet
, iam.serviceAccounts.actAs
cloudfunctions.functions.create
, cloudfunctions.functions.sourceCodeSet
, iam.serviceAccounts.actAs
Ein Angreifer mit diesen Berechtigungen kann eine neue Cloud-Funktion mit beliebigem (bösartigem) Code erstellen und ihr ein Dienstkonto zuweisen. Dann kann er das Dienstkonto-Token aus den Metadaten leaken, um die Berechtigungen zu eskalieren. Einige Berechtigungen zum Auslösen der Funktion könnten erforderlich sein.
Exploit-Skripte für diese Methode finden Sie hier und hier und die vorgefertigte .zip-Datei finden Sie hier.
cloudfunctions.functions.update
, cloudfunctions.functions.sourceCodeSet
, iam.serviceAccounts.actAs
cloudfunctions.functions.update
, cloudfunctions.functions.sourceCodeSet
, iam.serviceAccounts.actAs
Ein Angreifer mit diesen Berechtigungen kann den Code einer Funktion ändern und sogar das angehängte Dienstkonto ändern, um das Token zu exfiltrieren.
Um Cloud-Funktionen bereitzustellen, benötigen Sie auch actAs-Berechtigungen über das Standard-Compute-Dienstkonto oder über das Dienstkonto, das zum Erstellen des Images verwendet wird.
Einige zusätzliche Berechtigungen wie die .call
-Berechtigung für Version 1 cloudfunctions oder die Rolle role/run.invoker
, um die Funktion auszulösen, könnten erforderlich sein.
Wenn Sie den Fehler Permission 'run.services.setIamPolicy' denied on resource...
erhalten, liegt das daran, dass Sie den Parameter --allow-unauthenticated
verwenden und nicht über ausreichende Berechtigungen dafür verfügen.
Das Exploit-Skript für diese Methode finden Sie hier.
cloudfunctions.functions.sourceCodeSet
cloudfunctions.functions.sourceCodeSet
Mit dieser Berechtigung können Sie eine signierte URL erhalten, um eine Datei in einen Funktionsbucket hochzuladen (aber der Code der Funktion wird nicht geändert, Sie müssen ihn weiterhin aktualisieren)
Nicht wirklich sicher, wie nützlich nur diese Berechtigung aus der Perspektive eines Angreifers ist, aber gut zu wissen.
cloudfunctions.functions.setIamPolicy
, iam.serviceAccounts.actAs
cloudfunctions.functions.setIamPolicy
, iam.serviceAccounts.actAs
Gib dir eine der vorherigen .update
oder .create
Berechtigungen, um zu eskalieren.
cloudfunctions.functions.update
cloudfunctions.functions.update
Nur mit cloudfunctions
Berechtigungen, ohne iam.serviceAccounts.actAs
kannst du die Funktion nicht aktualisieren, ALSO IST DAS KEINE GÜLTIGE PRIVESC.
Bucket Schreibberechtigungen
Du könntest denken, dass ein Angreifer mit Schreibberechtigungen über den Bucket, in dem der Cloud Functions Code gespeichert ist, in der Lage sein wird, den Code zu ändern, indem er die function_code.zip
überschreibt und dann die Funktion beliebigen Code ausführt.
Das ist jedoch nicht wahr, das bloße Überschreiben des Codes im Bucket wird den Code, der ausgeführt wird, nicht ändern.
Referenzen
Last updated