AWS - EFS Privesc
EFS
Ulteriori informazioni su EFS in:
AWS - EFS EnumRicorda che per montare un EFS devi trovarsi in una subnet dove l'EFS è esposto e avere accesso ad esso (gruppi di sicurezza). Se ciò accade, per impostazione predefinita, sarai sempre in grado di montarlo, tuttavia, se è protetto da policy IAM, è necessario disporre dei permessi aggiuntivi menzionati qui per accedervi.
elasticfilesystem:DeleteFileSystemPolicy
|elasticfilesystem:PutFileSystemPolicy
elasticfilesystem:DeleteFileSystemPolicy
|elasticfilesystem:PutFileSystemPolicy
Con uno qualsiasi di questi permessi un attaccante può modificare la policy del file system per concederti l'accesso ad esso, o semplicemente eliminarlo in modo che sia concesso l'accesso predefinito.
Per eliminare la policy:
Per cambiarlo:
elasticfilesystem:ClientMount|(elasticfilesystem:ClientRootAccess)|(elasticfilesystem:ClientWrite)
elasticfilesystem:ClientMount|(elasticfilesystem:ClientRootAccess)|(elasticfilesystem:ClientWrite)
Con questa autorizzazione un attaccante sarà in grado di montare l'EFS. Se l'autorizzazione di scrittura non è data per default a chiunque possa montare l'EFS, avrà solo accesso in lettura.
Le autorizzazioni aggiuntive elasticfilesystem:ClientRootAccess
e elasticfilesystem:ClientWrite
possono essere utilizzate per scrivere all'interno del filesystem dopo che è stato montato e per accedere a quel filesystem come root.
Impatto potenziale: Escalation dei privilegi indiretta individuando informazioni sensibili nel filesystem.
elasticfilesystem:CreateMountTarget
elasticfilesystem:CreateMountTarget
Se un attaccante si trova all'interno di una sottorete dove nessun mount target dell'EFS esiste, potrebbe semplicemente crearne uno nella sua subnet con questo privilegio:
Impatto Potenziale: Escalation di privilegi indiretta individuando informazioni sensibili nel sistema di file.
elasticfilesystem:ModifyMountTargetSecurityGroups
elasticfilesystem:ModifyMountTargetSecurityGroups
In uno scenario in cui un attaccante scopre che l'EFS ha un mount target nella sua sotto-rete ma nessun security group permette il traffico, potrebbe semplicemente modificare ciò modificando i security group selezionati:
Impatto Potenziale: Privesc indiretto individuando informazioni sensibili nel file system.
Last updated