AWS - Glue Privesc
glue
iam:PassRole
, glue:CreateDevEndpoint
, (glue:GetDevEndpoint
| glue:GetDevEndpoints
)
iam:PassRole
, glue:CreateDevEndpoint
, (glue:GetDevEndpoint
| glue:GetDevEndpoints
)Usuários com essas permissões podem configurar um novo ponto de desenvolvimento do AWS Glue, atribuindo uma função de serviço existente assumível pelo Glue com permissões específicas a este ponto de extremidade.
Após a configuração, o atacante pode acessar por SSH a instância do ponto de extremidade e roubar as credenciais IAM da função atribuída:
Para fins de sigilo, é recomendado usar as credenciais IAM de dentro da máquina virtual Glue.
Impacto Potencial: Escalação de privilégios para a função de serviço Glue especificada.
glue:UpdateDevEndpoint
, (glue:GetDevEndpoint
| glue:GetDevEndpoints
)
glue:UpdateDevEndpoint
, (glue:GetDevEndpoint
| glue:GetDevEndpoints
)Usuários com essa permissão podem alterar um endpoint de desenvolvimento Glue existente chave SSH, habilitando o acesso SSH a ele. Isso permite que o atacante execute comandos com os privilégios da função anexada ao endpoint:
Impacto Potencial: Privesc para a função de serviço glue utilizada.
iam:PassRole
, (glue:CreateJob
| glue:UpdateJob
), (glue:StartJobRun
| glue:CreateTrigger
)
iam:PassRole
, (glue:CreateJob
| glue:UpdateJob
), (glue:StartJobRun
| glue:CreateTrigger
)Usuários com iam:PassRole
combinado com glue:CreateJob
ou glue:UpdateJob
, e também glue:StartJobRun
ou glue:CreateTrigger
podem criar ou atualizar um trabalho AWS Glue, anexando qualquer conta de serviço Glue, e iniciar a execução do trabalho. As capacidades do trabalho incluem a execução de código Python arbitrário, que pode ser explorado para estabelecer um shell reverso. Esse shell reverso pode então ser utilizado para exfiltrar as credenciais IAM da função anexada ao trabalho Glue, levando a um acesso ou ações não autorizadas com base nas permissões dessa função:
Impacto Potencial: Privesc para a função de serviço do Glue especificada.
glue:UpdateJob
glue:UpdateJob
Apenas com a permissão de atualização, um atacante poderia roubar as Credenciais IAM da função já anexada.
Impacto Potencial: Privesc para a função de serviço do Glue anexada.
Referências
Last updated