AWS - EFS Privesc
EFS
Maelezo zaidi kuhusu EFS yanapatikana hapa:
AWS - EFS EnumKumbuka kwamba ili kufunga EFS unahitaji kuwa kwenye mtandao wa sehemu ambapo EFS inaonekana na kuwa na ufikiaji wake (vikundi vya usalama). Ikiwa hii inatokea, kwa chaguo-msingi, utaweza kufunga, hata hivyo, ikiwa inalindwa na sera za IAM unahitaji kuwa na ruhusa za ziada zilizotajwa hapa ili kupata ufikiaji.
elasticfilesystem:DeleteFileSystemPolicy
|elasticfilesystem:PutFileSystemPolicy
elasticfilesystem:DeleteFileSystemPolicy
|elasticfilesystem:PutFileSystemPolicy
Kwa ruhusa yoyote kati ya hizo, mshambuliaji anaweza kubadilisha sera ya mfumo wa faili kukupa ufikiaji wake, au tu kuifuta ili ufikiaji wa chaguo-msingi upewe.
Kufuta sera:
Kuibadilisha:
elasticfilesystem:ClientMount|(elasticfilesystem:ClientRootAccess)|(elasticfilesystem:ClientWrite)
elasticfilesystem:ClientMount|(elasticfilesystem:ClientRootAccess)|(elasticfilesystem:ClientWrite)
Kwa kibali hiki, mshambuliaji ataweza kufunga EFS. Ikiwa kibali cha kuandika hakijatolewa kwa kila mtu anayeweza kufunga EFS, atakuwa na upatikanaji wa kusoma tu.
elasticfilesystem:CreateMountTarget
elasticfilesystem:CreateMountTarget
Ikiwa unashambuliaji yuko ndani ya mtandao wa sehemu ambapo hakuna lengo la kufunga la EFS. Anaweza tu kuunda moja kwenye eneo lake na haki hii:
Athari Inayoweza Kutokea: Privesc isiyo ya moja kwa moja kwa kutambua habari nyeti kwenye mfumo wa faili.
elasticfilesystem:ModifyMountTargetSecurityGroups
elasticfilesystem:ModifyMountTargetSecurityGroups
Katika hali ambapo mshambuliaji anagundua kwamba EFS ina lengo la kufunga katika eneo lake la mtandao lakini hakuna kikundi cha usalama kinachoruhusu trafiki, anaweza tu kubadilisha hilo kwa kubadilisha vikundi vya usalama vilivyochaguliwa:
Athari Inayowezekana: Privesc isiyo ya moja kwa moja kwa kutambua habari nyeti kwenye mfumo wa faili.
Last updated