AWS - MSK Enum
Amazon MSK
Amazon Managed Streaming for Apache Kafka (Amazon MSK) é um serviço totalmente gerenciado que facilita o desenvolvimento e a execução de aplicativos que processam dados em streaming por meio do Apache Kafka. Operações de plano de controle, incluindo criação, atualização e exclusão de clusters, são oferecidas pelo Amazon MSK. O serviço permite a utilização de operações de plano de dados do Apache Kafka, abrangendo produção e consumo de dados. Ele opera em versões de código aberto do Apache Kafka, garantindo compatibilidade com aplicativos, ferramentas e plugins existentes tanto da comunidade de parceiros quanto da comunidade Apache Kafka, eliminando a necessidade de alterações no código do aplicativo.
Em termos de confiabilidade, o Amazon MSK é projetado para detectar e se recuperar automaticamente de cenários comuns de falha de cluster, garantindo que aplicativos produtores e consumidores persistam em suas atividades de escrita e leitura de dados com interrupções mínimas. Além disso, ele visa otimizar os processos de replicação de dados ao tentar reutilizar o armazenamento de corretores substituídos, minimizando assim o volume de dados que precisa ser replicado pelo Apache Kafka.
Tipos
Existem 2 tipos de clusters Kafka que a AWS permite criar: Provisionado e Serverless.
Do ponto de vista de um atacante, é importante saber que:
Serverless não pode ser diretamente público (só pode ser executado em uma VPN sem nenhum IP exposto publicamente). No entanto, Provisionado pode ser configurado para obter um IP público (por padrão não possui) e configurar o grupo de segurança para expor as portas relevantes.
Serverless suporta apenas IAM como método de autenticação. Provisionado suporta autenticação SASL/SCRAM (senha), autenticação IAM, Autenticação do AWS Certificate Manager (ACM) e acesso não autenticado.
Note que não é possível expor publicamente um Kafka Provisionado se o acesso não autenticado estiver habilitado
Enumeração
Acesso IAM do Kafka (em serverless)
Privesc
AWS - MSK PrivescAcesso não autenticado
AWS - MSK Unauthenticated EnumPersistência
Se você tiver acesso ao VPC onde um Kafka Provisionado está, você poderia habilitar o acesso não autorizado, se a autenticação SASL/SCRAM estiver sendo usada, ler a senha do segredo, dar algumas outras permissões IAM controladas (se IAM ou serverless for usado) ou persistir com certificados.
Referências
Last updated