AWS - Codepipeline Privesc

Aprende y practica AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Aprende y practica GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Apoya a HackTricks

• Revisa los planes de suscripción!

• Únete al 💬 grupo de Discord o al grupo de telegram o síguenos en Twitter 🐦 @hacktricks_live.

• Comparte trucos de hacking enviando PRs a los repositorios de github de HackTricks y HackTricks Cloud.

codepipeline

Para más información sobre codepipeline revisa:

AWS - DataPipeline, CodePipeline & CodeCommit Enum

iam:PassRole, codepipeline:CreatePipeline, codebuild:CreateProject, codepipeline:StartPipelineExecution

Al crear un code pipeline puedes indicar un codepipeline IAM Role para ejecutar, por lo tanto, podrías comprometerlos.

Además de los permisos anteriores, necesitarías acceso al lugar donde se almacena el código (S3, ECR, github, bitbucket...)

Probé esto haciendo el proceso en la página web, los permisos indicados anteriormente no son los de List/Get necesarios para crear un codepipeline, pero para crearlo en la web también necesitarás: codebuild:ListCuratedEnvironmentImages, codebuild:ListProjects, codebuild:ListRepositories, codecommit:ListRepositories, events:PutTargets, codepipeline:ListPipelines, events:PutRule, codepipeline:ListActionTypes, cloudtrail:<several>

Durante la creación del proyecto de construcción puedes indicar un comando para ejecutar (¿rev shell?) y ejecutar la fase de construcción como usuario privilegiado, esa es la configuración que el atacante necesita para comprometer:

?codebuild:UpdateProject, codepipeline:UpdatePipeline, codepipeline:StartPipelineExecution

Podría ser posible modificar el rol utilizado y el comando ejecutado en un codepipeline con los permisos anteriores.

codepipeline:pollforjobs

AWS menciona:

Cuando se llama a esta API, CodePipeline devuelve credenciales temporales para el bucket S3 utilizado para almacenar artefactos para el pipeline, si la acción requiere acceso a ese bucket S3 para artefactos de entrada o salida. Esta API también devuelve cualquier valor secreto definido para la acción.

Aprende y practica AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Aprende y practica GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)

Apoya a HackTricks

• Revisa los planes de suscripción!

• Únete al 💬 grupo de Discord o al grupo de telegram o síguenos en Twitter 🐦 @hacktricks_live.

• Comparte trucos de hacking enviando PRs a los repositorios de github de HackTricks y HackTricks Cloud.