AWS - STS Privesc
STS
sts:AssumeRole
sts:AssumeRole
Każda rola jest tworzona z polityką zaufania roli, która wskazuje kto może przyjąć utworzoną rolę. Jeśli rola z tego samego konta mówi, że inne konto może ją przyjąć, oznacza to, że konto to będzie miało dostęp do roli (i potencjalnie privesc).
Na przykład poniższa polityka zaufania roli wskazuje, że każdy może ją przyjąć, dlatego każdy użytkownik będzie mógł uzyskać privesc do uprawnień związanych z tą rolą.
Możesz podszyć się pod rolę, uruchamiając:
Potencjalne skutki: Eskalacja uprawnień do roli.
Należy zauważyć, że w tym przypadku uprawnienie sts:AssumeRole
musi być wskazane w roli do nadużycia i nie w polityce należącej do atakującego.
Z jednym wyjątkiem, aby przyjąć rolę z innego konta, konto atakującego również musi mieć uprawnienie sts:AssumeRole
do roli.
sts:GetFederationToken
sts:GetFederationToken
Dzięki temu uprawnieniu możliwe jest generowanie poświadczeń do podszywania się pod dowolnego użytkownika:
To można bezpiecznie nadać to uprawnienie bez udzielania dostępu do podszywania się pod innych użytkowników:
sts:AssumeRoleWithSAML
sts:AssumeRoleWithSAML
Zasada zaufania dla tej roli umożliwia użytkownikom uwierzytelnionym za pomocą SAML dostęp do podszycia się pod rolę.
Przykład zasady zaufania z tym uprawnieniem to:
Aby wygenerować poświadczenia umożliwiające podszywanie się pod rolę ogólnie, można użyć na przykład:
Ale dostawcy mogą mieć swoje własne narzędzia, które ułatwiają to zadanie, takie jak onelogin-aws-assume-role:
Potencjalny wpływ: Eskalacja uprawnień do roli.
sts:AssumeRoleWithWebIdentity
sts:AssumeRoleWithWebIdentity
To uprawnienie umożliwia uzyskanie zestawu tymczasowych poświadczeń bezpieczeństwa dla użytkowników, którzy zostali uwierzytelnieni w aplikacji mobilnej, sieci webowej, EKS... za pomocą dostawcy tożsamości internetowej. Dowiedz się więcej tutaj.
Na przykład, jeśli konto usługi EKS powinno móc podawać się za rolę IAM, będzie miało token w /var/run/secrets/eks.amazonaws.com/serviceaccount/token
i będzie mogło przyjąć rolę i uzyskać poświadczenia wykonując coś w rodzaju:
Nadużycie federacji
AWS - Federation AbuseLast updated