AWS - Codestar Privesc
Codestar
Codestar에 대한 자세한 정보는 다음에서 찾을 수 있습니다:
codestar:CreateProject, codestar:AssociateTeamMemberiam:PassRole
, codestar:CreateProject
iam:PassRole
, codestar:CreateProject
이 권한을 사용하면 codestar IAM 역할을 남용하여 임의의 작업을 cloudformation 템플릿을 통해 수행할 수 있습니다. 다음 페이지를 확인하세요:
iam:PassRole, codestar:CreateProjectcodestar:CreateProject
, codestar:AssociateTeamMember
codestar:CreateProject
, codestar:AssociateTeamMember
이 기술은 codestar:CreateProject
를 사용하여 codestar 프로젝트를 만들고, codestar:AssociateTeamMember
를 사용하여 IAM 사용자를 새 CodeStar 프로젝트의 소유자로 만들어 새 정책과 몇 가지 추가 권한을 부여합니다.
만약 이미 프로젝트 멤버인 경우 codestar:UpdateTeamMember
권한을 사용하여 codestar:AssociateTeamMember
대신 소유자 역할을 업데이트할 수 있습니다.
잠재적인 영향: codestar 정책으로의 권한 상승. 해당 정책의 예시는 다음에서 찾을 수 있습니다:
codestar:CreateProject, codestar:AssociateTeamMembercodestar:CreateProjectFromTemplate
codestar:CreateProjectFromTemplate
새 프로젝트 생성:
codestar:CreateProjectFromTemplate
액션을 활용하여 새 프로젝트 생성을 시작합니다.성공적인 생성 후, **
cloudformation:UpdateStack
**에 대한 액세스가 자동으로 부여됩니다.이 액세스는 주로
CodeStarWorker-<일반 프로젝트 이름>-CloudFormation
IAM 역할과 관련된 스택을 대상으로 합니다.
대상 스택 업데이트:
부여된 CloudFormation 권한으로 지정된 스택을 업데이트합니다.
스택의 이름은 일반적으로 다음 두 패턴 중 하나를 준수합니다:
awscodestar-<일반 프로젝트 이름>-infrastructure
awscodestar-<일반 프로젝트 이름>-lambda
정확한 이름은 선택한 템플릿에 따라 다릅니다 (예시 exploit 스크립트 참조).
액세스 및 권한:
업데이트 후, 스택과 연결된 CloudFormation IAM 역할에 할당된 기능을 얻습니다.
참고: 이것만으로 전체 관리자 권한을 제공하지는 않습니다. 권한을 더 상승시키기 위해 환경 내 추가로 잘못 구성된 리소스가 필요할 수 있습니다.
자세한 정보는 원본 연구를 확인하십시오: https://rhinosecuritylabs.com/aws/escalating-aws-iam-privileges-undocumented-codestar-api/. 해당 exploit은 https://github.com/RhinoSecurityLabs/Cloud-Security-Research/blob/master/AWS/codestar_createprojectfromtemplate_privesc/CodeStarPrivEsc.py에서 찾을 수 있습니다.
잠재적인 영향: cloudformation IAM 역할로의 권한 상승.
Last updated