GCP - Orgpolicy Privesc
orgpolicy
orgpolicy.policy.set
orgpolicy.policy.set
Un atacante que aprovecha orgpolicy.policy.set puede manipular políticas organizativas, lo que le permitirá eliminar ciertas restricciones que impiden operaciones específicas. Por ejemplo, la restricción appengine.disableCodeDownload normalmente bloquea la descarga del código fuente de App Engine. Sin embargo, al usar orgpolicy.policy.set, un atacante puede desactivar esta restricción, obteniendo así acceso para descargar el código fuente, a pesar de estar inicialmente protegido.
Un script de Python para este método se puede encontrar aquí.
Referencias
Last updated