AWS - Redshift Privesc
Redshift
Kwa maelezo zaidi kuhusu RDS angalia:
AWS - Redshift Enumredshift:DescribeClusters
, redshift:GetClusterCredentials
redshift:DescribeClusters
, redshift:GetClusterCredentials
Kwa ruhusa hizi unaweza kupata maelezo ya makundi yote (ikiwa ni pamoja na jina na jina la mtumiaji wa kundi) na kupata hati za kufikia:
Athari Zinazowezekana: Pata taarifa nyeti ndani ya hifadhidata.
redshift:DescribeClusters
, redshift:GetClusterCredentialsWithIAM
redshift:DescribeClusters
, redshift:GetClusterCredentialsWithIAM
Kwa ruhusa hizi unaweza kupata taarifa za makundi yote na kupata vitambulisho vya kuipata. Kumbuka kwamba mtumiaji wa postgres atakuwa na ruhusa ambazo utambulisho wa IAM uliotumika kupata vitambulisho unazo.
Athari Inayowezekana: Pata taarifa nyeti ndani ya hifadhidata.
redshift:DescribeClusters
, redshift:ModifyCluster?
redshift:DescribeClusters
, redshift:ModifyCluster?
Inawezekana kubadilisha nenosiri kuu la mtumiaji wa ndani wa postgres (redshift) kutoka aws cli (nadhani haya ndiyo ruhusa unayohitaji lakini bado sijayajaribu):
Potential Impact: Kupata taarifa nyeti ndani ya hifadhidata.
Accessing External Services
Ili kufikia rasilimali zote zifuatazo, utahitaji kueleza jukumu la kutumia. Redshift cluster inaweza kuwa na orodha ya majukumu ya AWS ambayo unaweza kutumia ikiwa unajua ARN au unaweza kuweka "default" kutumia ile ya kawaida iliyotolewa.
Zaidi ya hayo, kama ilivyoelezwa hapa, Redshift pia inaruhusu kuunganisha majukumu (mradi tu la kwanza linaweza kuchukua la pili) kupata ufikiaji zaidi kwa kutenganisha kwa comma: iam_role 'arn:aws:iam::123456789012:role/RoleA,arn:aws:iam::210987654321:role/RoleB';
Lambdas
Kama ilivyoelezwa katika https://docs.aws.amazon.com/redshift/latest/dg/r_CREATE_EXTERNAL_FUNCTION.html, inawezekana kuita lambda function kutoka redshift na kitu kama:
S3
Kama ilivyoelezwa katika https://docs.aws.amazon.com/redshift/latest/dg/tutorial-loading-run-copy.html, inawezekana kusoma na kuandika kwenye S3 buckets:
Dynamo
Kama ilivyoelezwa katika https://docs.aws.amazon.com/redshift/latest/dg/t_Loading-data-from-dynamodb.html, inawezekana kupata data kutoka dynamodb:
Jedwali la Amazon DynamoDB linalotoa data lazima liundwe katika Mkoa wa AWS sawa na klasta yako isipokuwa utumie chaguo la REGION kubainisha Mkoa wa AWS ambapo jedwali la Amazon DynamoDB liko.
EMR
Angalia https://docs.aws.amazon.com/redshift/latest/dg/loading-data-from-emr.html
Marejeleo
Last updated