Από AWS σε Kubernetes

Ο δημιουργός του EKS cluster είναι ΠΑΝΤΑ σε θέση να εισέλθει στο kubernetes μέρος του cluster ως μέλος της ομάδας system:masters (k8s admin). Τη στιγμή που γράφεται αυτό, δεν υπάρχει άμεσος τρόπος να βρεις ποιος δημιούργησε το cluster (μπορείς να ελέγξεις CloudTrail). Και δεν υπάρχει τρόπος να αφαιρέσεις αυτό το προνόμιο.

Ο τρόπος να παραχωρήσεις πρόσβαση πάνω στο K8s σε περισσότερους AWS IAM users ή roles είναι μέσω του configmap aws-auth.

Warning

Επομένως, οποιοσδήποτε με write access πάνω στο config map aws-auth θα μπορέσει να compromise the whole cluster.

Για περισσότερες πληροφορίες σχετικά με το πώς να grant extra privileges to IAM roles & users στον same or different account και πώς να abuse αυτό, δες privesc check this page.

Δες επίσης this awesome post to learn how the authentication IAM -> Kubernetes work.

Από Kubernetes σε AWS

Είναι δυνατό να επιτραπεί OpenID authentication for kubernetes service account ώστε να μπορούν να assume roles στο AWS. Μάθε πώς this work in this page.

Λήψη Api Server Endpoint από ένα JWT Token

Αποκωδικοποιώντας το JWT token παίρνουμε το cluster id και επίσης την περιοχή. Γνωρίζοντας ότι το τυπικό format για το EKS url είναι

https://<cluster-id>.<two-random-chars><number>.<region>.eks.amazonaws.com

Δεν βρήκα καμία τεκμηρίωση που να εξηγεί τα κριτήρια για τα ‘two chars’ και τον ‘number’. Αλλά κάνοντας μερικά tests από την πλευρά μου βλέπω να επαναλαμβάνονται τα εξής:

• gr7
• yl4

Σε κάθε περίπτωση είναι μόνο 3 chars οπότε μπορούμε να τα bruteforce. Χρησιμοποίησε το παρακάτω script για να δημιουργήσεις τη λίστα

from itertools import product
from string import ascii_lowercase

letter_combinations = product('abcdefghijklmnopqrstuvwxyz', repeat = 2)
number_combinations = product('0123456789', repeat = 1)

result = [
f'{''.join(comb[0])}{comb[1][0]}'
for comb in product(letter_combinations, number_combinations)
]

with open('out.txt', 'w') as f:
f.write('\n'.join(result))

Στη συνέχεια με wfuzz

wfuzz -Z -z file,out.txt --hw 0 https://<cluster-id>.FUZZ.<region>.eks.amazonaws.com

Warning

Θυμηθείτε να αντικαταστήσετε & .

Παράκαμψη CloudTrail

Αν ένας attacker αποκτήσει διαπιστευτήρια ενός AWS με άδεια πάνω σε ένα EKS. Αν ο attacker ρυθμίσει το δικό του kubeconfig (χωρίς να καλέσει το update-kubeconfig) όπως εξηγήθηκε προηγουμένως, το get-token δεν δημιουργεί logs στο Cloudtrail επειδή δεν αλληλεπιδρά με το AWS API (απλώς δημιουργεί το token τοπικά).

Έτσι, όταν ο attacker επικοινωνεί με το EKS cluster, το cloudtrail δεν θα καταγράψει τίποτα που να σχετίζεται με το κλεμμένο user και την πρόσβασή του.

Σημειώστε ότι το EKS cluster μπορεί να έχει ενεργοποιημένα logs που θα καταγράψουν αυτήν την πρόσβαση (αν και, από προεπιλογή, είναι απενεργοποιημένα).

EKS Λύτρα?

Από προεπιλογή, ο user ή role που δημιούργησε ένα cluster θα έχει ΠΑΝΤΑ δικαιώματα admin πάνω στο cluster. Και αυτή είναι η μόνη «ασφαλής» πρόσβαση που θα έχει το AWS στο Kubernetes cluster.

Έτσι, αν ένας attacker παραβιάσει ένα cluster χρησιμοποιώντας fargate και αφαιρέσει όλους τους άλλους admins και διαγράψει τον AWS user/role που δημιούργησε το Cluster, the attacker could have ransomed the cluster.

Tip

Σημειώστε ότι αν το cluster χρησιμοποιούσε EC2 VMs, μπορεί να είναι δυνατό να αποκτήσετε δικαιώματα Admin από τον Node και να ανακτήσετε το cluster.

Στην πραγματικότητα, αν το cluster χρησιμοποιεί Fargate, μπορείτε να δημιουργήσετε EC2 nodes ή να μεταφέρετε τα πάντα σε EC2 στο cluster και να το ανακτήσετε αποκτώντας πρόσβαση στα tokens στον node.

Tip

Μάθετε & εξασκηθείτε στο AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Μάθετε & εξασκηθείτε στο GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Μάθετε & εξασκηθείτε στο Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Υποστηρίξτε το HackTricks

• Δείτε τα subscription plans!
• Εγγραφείτε στο 💬 Discord group ή την telegram group ή ακολουθήστε μας στο Twitter 🐦 @hacktricks_live.
• Μοιραστείτε τα hacking tricks υποβάλλοντας PRs στα HackTricks και HackTricks Cloud github repos.