AWS - EFS Privesc
EFS
Más información sobre EFS en:
AWS - EFS EnumRecuerda que para montar un EFS necesitas estar en una subred donde el EFS esté expuesto y tener acceso a él (grupos de seguridad). Si esto sucede, por defecto, siempre podrás montarlo, sin embargo, si está protegido por políticas IAM necesitas tener los permisos adicionales mencionados aquí para acceder a él.
elasticfilesystem:DeleteFileSystemPolicy
|elasticfilesystem:PutFileSystemPolicy
elasticfilesystem:DeleteFileSystemPolicy
|elasticfilesystem:PutFileSystemPolicy
Con cualquiera de estos permisos, un atacante puede cambiar la política del sistema de archivos para darte acceso a él, o simplemente eliminarlo para que se conceda el acceso por defecto.
Para eliminar la política:
Para cambiarlo:
elasticfilesystem:ClientMount|(elasticfilesystem:ClientRootAccess)|(elasticfilesystem:ClientWrite)
elasticfilesystem:ClientMount|(elasticfilesystem:ClientRootAccess)|(elasticfilesystem:ClientWrite)
Con este permiso, un atacante podrá montar el EFS. Si el permiso de escritura no se otorga por defecto a todos los que pueden montar el EFS, solo tendrá acceso de lectura.
Las permisos adicionales elasticfilesystem:ClientRootAccess
y elasticfilesystem:ClientWrite
se pueden utilizar para escribir dentro del sistema de archivos una vez que está montado y para acceder a ese sistema de archivos como root.
Impacto potencial: Escalada de privilegios indirecta al localizar información sensible en el sistema de archivos.
elasticfilesystem:CreateMountTarget
elasticfilesystem:CreateMountTarget
Si un atacante está dentro de una subred donde no existe un punto de montaje del EFS, podría simplemente crear uno en su subred con este privilegio:
Impacto Potencial: Escalada de privilegios indirecta al localizar información sensible en el sistema de archivos.
elasticfilesystem:ModifyMountTargetSecurityGroups
elasticfilesystem:ModifyMountTargetSecurityGroups
En un escenario donde un atacante descubre que el EFS tiene un punto de montaje en su subred pero ningún grupo de seguridad permite el tráfico, simplemente podría cambiar eso modificando los grupos de seguridad seleccionados:
Impacto Potencial: Escalada de privilegios indirecta al localizar información sensible en el sistema de archivos.
Last updated