Il est possible de donner un accès public à la base de données depuis Internet. L'attaquant devra toujours connaître le nom d'utilisateur et le mot de passe, l'accès IAM, ou un exploit pour accéder à la base de données.
Instantanés publics RDS
AWS permet de donner accès à quiconque pour télécharger des instantanés RDS. Vous pouvez facilement lister ces instantanés RDS publics depuis votre propre compte :
# Public RDS snapshotsawsrdsdescribe-db-snapshots--include-public## Search by account IDaws rds describe-db-snapshots --include-public --query 'DBSnapshots[?contains(DBSnapshotIdentifier, `284546856933:`) == `true`]'
## To share a RDS snapshot with everybody the RDS DB cannot be encrypted (so the snapshot won't be encryted)## To share a RDS encrypted snapshot you need to share the KMS key also with the account# From the own account you can check if there is any public snapshot with:awsrdsdescribe-db-snapshots--snapshot-typepublic [--region us-west-2]## Even if in the console appear as there are public snapshot it might be public## snapshots from other accounts used by the current account