AWS - EFS Privesc
EFS
EFSに関する詳細情報は以下を参照してください:
AWS - EFS EnumEFSをマウントするには、EFSが公開されているサブネットワークにいる必要があり、アクセス権(セキュリティグループ)を持っている必要があります。これが起こっている場合、デフォルトで常にマウントできますが、IAMポリシーによって保護されている場合は、ここで言及されている追加の権限が必要です。
elasticfilesystem:DeleteFileSystemPolicy
|elasticfilesystem:PutFileSystemPolicy
elasticfilesystem:DeleteFileSystemPolicy
|elasticfilesystem:PutFileSystemPolicy
これらの権限のいずれかを持っている攻撃者は、ファイルシステムポリシーを変更してアクセス権を与えるか、削除してデフォルトアクセスを許可することができます。
ポリシーを削除するには:
変更するには:
elasticfilesystem:ClientMount|(elasticfilesystem:ClientRootAccess)|(elasticfilesystem:ClientWrite)
elasticfilesystem:ClientMount|(elasticfilesystem:ClientRootAccess)|(elasticfilesystem:ClientWrite)
この権限を持っていると、攻撃者はEFSをマウントできます。EFSをマウントできるすべてのユーザーに書き込み権限がデフォルトで与えられていない場合、彼は読み取りアクセスのみを持つことになります。
潜在的影響: ファイルシステム内の機密情報を特定することによる間接的な権限昇格。
elasticfilesystem:CreateMountTarget
elasticfilesystem:CreateMountTarget
攻撃者がEFSのマウントターゲットが存在しないサブネット内にいる場合、この権限を使用して自分のサブネットに1つ作成することができます。
潜在的影響: ファイルシステム内の機密情報を特定することによる間接的な昇格。
elasticfilesystem:ModifyMountTargetSecurityGroups
elasticfilesystem:ModifyMountTargetSecurityGroups
攻撃者がEFSにマウントターゲットがあることを発見したが、トラフィックを許可するセキュリティグループがないサブネット内にある場合、単に選択したセキュリティグループを変更することができます。
潜在的影響: ファイルシステム内の機密情報の特定による間接的な昇格。
Last updated