AWS - DynamoDB Post Exploitation
DynamoDB
Pour plus d'informations, consultez :
pageAWS - DynamoDB Enumdynamodb:BatchGetItem
dynamodb:BatchGetItem
Un attaquant avec ces autorisations pourra obtenir des éléments des tables par la clé primaire (vous ne pouvez pas simplement demander toutes les données de la table). Cela signifie que vous devez connaître les clés primaires (vous pouvez les obtenir en récupérant les métadonnées de la table (describe-table
).
Impact potentiel : Élévation indirecte des privilèges en localisant des informations sensibles dans la table
dynamodb:GetItem
dynamodb:GetItem
Similaire aux autorisations précédentes, celle-ci permet à un attaquant potentiel de lire des valeurs à partir d'une seule table en donnant la clé primaire de l'entrée à récupérer :
Avec cette autorisation, il est également possible d'utiliser la méthode transact-get-items
comme suit :
Impact potentiel : Élévation indirecte des privilèges en localisant des informations sensibles dans la table
dynamodb:Query
dynamodb:Query
Similaire aux autorisations précédentes, celle-ci permet à un attaquant potentiel de lire des valeurs à partir d'une seule table en donnant la clé primaire de l'entrée à récupérer. Il permet d'utiliser un sous-ensemble de comparaisons, mais la seule comparaison autorisée avec la clé primaire (qui doit apparaître) est "EQ", donc vous ne pouvez pas utiliser une comparaison pour obtenir toute la base de données dans une requête.
Impact potentiel : Élévation indirecte des privilèges en localisant des informations sensibles dans la table
dynamodb:Scan
dynamodb:Scan
Vous pouvez utiliser cette autorisation pour extraire facilement l'intégralité de la table.
Impact potentiel : Élévation indirecte des privilèges en localisant des informations sensibles dans la table
dynamodb:PartiQLSelect
dynamodb:PartiQLSelect
Vous pouvez utiliser cette autorisation pour extraire facilement l'intégralité de la table.
Cette autorisation permet également d'effectuer batch-execute-statement
comme suit :
mais vous devez spécifier la clé primaire avec une valeur, donc ce n'est pas très utile.
Impact potentiel : Élévation indirecte des privilèges en localisant des informations sensibles dans la table
dynamodb:ExportTableToPointInTime|(dynamodb:UpdateContinuousBackups)
dynamodb:ExportTableToPointInTime|(dynamodb:UpdateContinuousBackups)
Cette autorisation permettra à un attaquant d'exporter l'ensemble de la table vers un bucket S3 de son choix :
Notez que pour que cela fonctionne, la table doit avoir la récupération à un instant donné activée, vous pouvez vérifier si la table l'a avec :
Si ce n'est pas activé, vous devrez l'activer et pour cela, vous avez besoin de l'autorisation dynamodb:ExportTableToPointInTime
:
Impact potentiel : Élévation indirecte des privilèges en localisant des informations sensibles dans la table
dynamodb:CreateTable
, dynamodb:RestoreTableFromBackup
, (dynamodb:CreateBackup)
dynamodb:CreateTable
, dynamodb:RestoreTableFromBackup
, (dynamodb:CreateBackup)
Avec ces autorisations, un attaquant serait capable de créer une nouvelle table à partir d'une sauvegarde (ou même de créer une sauvegarde pour ensuite la restaurer dans une table différente). Ensuite, avec les autorisations nécessaires, il serait capable de consulter des informations provenant des sauvegardes qui pourraient ne plus être présentes dans la table de production.
Impact potentiel : Élévation indirecte des privilèges en localisant des informations sensibles dans la sauvegarde de la table
dynamodb:PutItem
dynamodb:PutItem
Cette autorisation permet aux utilisateurs d'ajouter un nouvel élément à la table ou de remplacer un élément existant par un nouvel élément. Si un élément avec la même clé primaire existe déjà, l'ensemble de l'élément sera remplacé par le nouvel élément. Si la clé primaire n'existe pas, un nouvel élément avec la clé primaire spécifiée sera créé.
Impact potentiel : Exploitation de vulnérabilités/bypass supplémentaires en pouvant ajouter/modifier des données dans une table DynamoDB
dynamodb:UpdateItem
dynamodb:UpdateItem
Cette autorisation permet aux utilisateurs de modifier les attributs existants d'un élément ou d'ajouter de nouveaux attributs à un élément. Elle ne remplace pas l'élément entier ; elle met à jour uniquement les attributs spécifiés. Si la clé primaire n'existe pas dans la table, l'opération va créer un nouvel élément avec la clé primaire spécifiée et définir les attributs spécifiés dans l'expression de mise à jour.
Impact potentiel : Exploitation de vulnérabilités/bypass supplémentaires en pouvant ajouter/modifier des données dans une table DynamoDB
dynamodb:DeleteTable
dynamodb:DeleteTable
Un attaquant avec cette permission peut supprimer une table DynamoDB, entraînant une perte de données.
Impact potentiel : Perte de données et perturbation des services dépendant de la table supprimée.
dynamodb:DeleteBackup
dynamodb:DeleteBackup
Un attaquant avec cette autorisation peut supprimer une sauvegarde DynamoDB, causant potentiellement une perte de données en cas de scénario de reprise après sinistre.
Impact potentiel : Perte de données et impossibilité de récupérer à partir d'une sauvegarde lors d'un scénario de reprise après sinistre.
dynamodb:StreamSpecification
, dynamodb:UpdateTable
, dynamodb:DescribeStream
, dynamodb:GetShardIterator
, dynamodb:GetRecords
dynamodb:StreamSpecification
, dynamodb:UpdateTable
, dynamodb:DescribeStream
, dynamodb:GetShardIterator
, dynamodb:GetRecords
À FAIRE : Tester si cela fonctionne réellement
Un attaquant avec ces autorisations peut activer un flux sur une table DynamoDB, mettre à jour la table pour commencer à diffuser les modifications, puis accéder au flux pour surveiller en temps réel les changements apportés à la table. Cela permet à l'attaquant de surveiller et d'exfiltrer les modifications de données, ce qui peut potentiellement entraîner une fuite de données.
Activer un flux sur une table DynamoDB :
Décrivez le flux pour obtenir l'ARN et d'autres détails :
Obtenir l'itérateur de fragment en utilisant l'ARN du flux :
Utilisez l'itérateur de shard pour accéder et exfiltrer des données du flux :
Impact potentiel: Surveillance en temps réel et fuite de données des modifications de la table DynamoDB.
Dernière mise à jour