AWS - ECR Enum
AWS - ECR Enum
ECR
Informações Básicas
O Amazon Elastic Container Registry (Amazon ECR) é um serviço de registro de imagens de contêiner gerenciado. Ele é projetado para fornecer um ambiente onde os clientes podem interagir com suas imagens de contêiner usando interfaces conhecidas. Especificamente, o uso do Docker CLI ou de qualquer cliente preferido é suportado, permitindo atividades como enviar, puxar e gerenciar imagens de contêiner.
ECR é composto por 2 tipos de objetos: Registries e Repositories.
Registries
Cada conta da AWS tem 2 registros: Privado e Público.
Registros Privados:
Privado por padrão: As imagens de contêiner armazenadas em um registro privado do Amazon ECR são acessíveis apenas para usuários autorizados dentro da sua conta da AWS ou para aqueles que receberam permissão.
A URI de um repositório privado segue o formato
<account_id>.dkr.ecr.<region>.amazonaws.com/<repo-name>
Controle de acesso: Você pode controlar o acesso às suas imagens de contêiner privadas usando políticas IAM, e pode configurar permissões detalhadas com base em usuários ou funções.
Integração com serviços da AWS: Os registros privados do Amazon ECR podem ser facilmente integrados com outros serviços da AWS, como EKS, ECS...
Outras opções de registro privado:
A coluna de imutabilidade de tag lista seu status, se a imutabilidade de tag estiver ativada, ela irá impedir que as imagens sejam enviadas com tags pré-existentes de sobrescrever as imagens.
A coluna de Tipo de criptografia lista as propriedades de criptografia do repositório, mostrando os tipos de criptografia padrão, como AES-256, ou tem criptografias habilitadas com KMS.
A coluna de cache de passagem lista seu status, se o status de cache de passagem estiver Ativo, ele irá armazenar em cache repositórios em um repositório público externo em seu repositório privado.
Políticas IAM específicas podem ser configuradas para conceder diferentes permissões.
A configuração de verificação permite verificar vulnerabilidades nas imagens armazenadas dentro do repositório.
Registros Públicos:
Acessibilidade pública: As imagens de contêiner armazenadas em um registro público do ECR são acessíveis a qualquer pessoa na internet sem autenticação.
A URI de um repositório público é como
public.ecr.aws/<random>/<name>
. Embora a parte<random>
possa ser alterada pelo administrador para outra string mais fácil de lembrar.
Repositórios
Estas são as imagens que estão no registro privado ou no público.
Observe que, para fazer upload de uma imagem em um repositório, o repositório ECR precisa ter o mesmo nome que a imagem.
Políticas de Registros e Repositórios
Registros e repositórios também têm políticas que podem ser usadas para conceder permissões a outros princípios/contas. Por exemplo, na seguinte imagem de política de repositório, você pode ver como qualquer usuário de toda a organização poderá acessar a imagem:
Enumeração
Enumeração não autenticada
AWS - ECR Unauthenticated EnumPrivesc
Na página a seguir, você pode verificar como abusar das permissões do ECR para escalar privilégios:
AWS - ECR PrivescPós-Exploração
AWS - ECR Post ExploitationPersistência
AWS - ECR PersistenceReferências
Last updated