AWS - Lightsail Privesc
Lightsail
Pour plus d'informations sur Lightsail, consultez :
AWS - Lightsail EnumIl est important de noter que Lightsail n'utilise pas les rôles IAM appartenant à l'utilisateur mais à un compte géré par AWS, vous ne pouvez donc pas abuser de ce service pour l'élévation de privilèges. Cependant, des données sensibles telles que du code, des clés API et des informations de base de données pourraient être trouvées dans ce service.
lightsail:DownloadDefaultKeyPair
lightsail:DownloadDefaultKeyPair
Cette autorisation vous permettra d'obtenir les clés SSH pour accéder aux instances :
Impact potentiel : Trouver des informations sensibles à l'intérieur des instances.
lightsail:GetInstanceAccessDetails
lightsail:GetInstanceAccessDetails
Cette autorisation vous permettra de générer des clés SSH pour accéder aux instances :
Impact potentiel : Trouver des informations sensibles à l'intérieur des instances.
lightsail:CreateBucketAccessKey
lightsail:CreateBucketAccessKey
Cette autorisation vous permettra d'obtenir une clé pour accéder au bucket :
Impact potentiel : Trouver des informations sensibles à l'intérieur du bucket.
lightsail:GetRelationalDatabaseMasterUserPassword
lightsail:GetRelationalDatabaseMasterUserPassword
Cette autorisation vous permettra d'obtenir les identifiants pour accéder à la base de données :
Impact potentiel : Trouver des informations sensibles à l'intérieur de la base de données.
lightsail:UpdateRelationalDatabase
lightsail:UpdateRelationalDatabase
Cette autorisation vous permettra de changer le mot de passe pour accéder à la base de données :
Si la base de données n'est pas publique, vous pourriez également la rendre publique avec ces autorisations avec
Impact potentiel : Trouver des informations sensibles à l'intérieur de la base de données.
lightsail:OpenInstancePublicPorts
lightsail:OpenInstancePublicPorts
Cette permission permet d'ouvrir des ports vers Internet.
Impact potentiel : Accès aux ports sensibles.
lightsail:PutInstancePublicPorts
lightsail:PutInstancePublicPorts
Cette autorisation permet d'ouvrir des ports à Internet. Notez que l'appel fermera tout port ouvert non spécifié dessus.
Impact potentiel : Accès aux ports sensibles.
lightsail:SetResourceAccessForBucket
lightsail:SetResourceAccessForBucket
Cette autorisation permet de donner à une instance l'accès à un compartiment sans nécessiter de justificatifs supplémentaires
Impact potentiel : Nouvel accès potentiel aux buckets contenant des informations sensibles.
lightsail:UpdateBucket
lightsail:UpdateBucket
Avec cette autorisation, un attaquant pourrait accorder à son propre compte AWS un accès en lecture aux buckets ou même rendre les buckets publics pour tout le monde :
Impact potentiel : Nouvel accès potentiel aux buckets contenant des informations sensibles.
lightsail:UpdateContainerService
lightsail:UpdateContainerService
Avec ces autorisations, un attaquant pourrait accorder l'accès aux ECR privés depuis le service de conteneurs
Impact potentiel : Obtenir des informations sensibles à partir d'ECR privé
lightsail:CreateDomainEntry
lightsail:CreateDomainEntry
Un attaquant avec cette autorisation pourrait créer un sous-domaine et le pointer vers son propre adresse IP (prise de contrôle de sous-domaine), ou créer un enregistrement SPF qui lui permet de usurper des e-mails du domaine, ou même définir le domaine principal sur sa propre adresse IP.
Impact potentiel : Prendre le contrôle d'un domaine
lightsail:UpdateDomainEntry
lightsail:UpdateDomainEntry
Un attaquant avec cette autorisation pourrait créer un sous-domaine et le pointer vers son propre adresse IP (prise de contrôle de sous-domaine), ou créer un enregistrement SPF qui lui permet de falsifier des e-mails provenant du domaine, voire définir l'adresse IP de son propre domaine principal.
Impact potentiel : Prendre le contrôle d'un domaine
Last updated