De AWS à Kubernetes

Le créateur du EKS cluster pourra TOUJOURS accéder à la partie cluster kubernetes faisant partie du groupe system:masters (k8s admin). Au moment de la rédaction, il n’existe aucun moyen direct pour savoir qui a créé le cluster (vous pouvez vérifier CloudTrail). Et il n’y a aucune façon de supprimer ce privilège.

La méthode pour accorder l’accès à K8s à davantage d’utilisateurs ou rôles AWS IAM est d’utiliser le configmap aws-auth.

Warning

Par conséquent, toute personne ayant un accès en écriture au configmap aws-auth pourra compromettre l’ensemble du cluster.

Pour plus d’informations sur la manière de donner des privilèges supplémentaires aux rôles et utilisateurs IAM dans le même ou un autre compte et sur la façon de abuser de cela, voir privesc check this page.

Check also this awesome post to learn how the authentication IAM -> Kubernetes work.

De Kubernetes à AWS

Il est possible d’autoriser une authentification OpenID pour kubernetes service account afin de leur permettre d’assumer des rôles dans AWS. Learn how this work in this page.

GET Api Server Endpoint from a JWT Token

En décodant le token JWT, on obtient l’ID du cluster et aussi la région. Sachant que le format standard pour l’URL EKS est

https://<cluster-id>.<two-random-chars><number>.<region>.eks.amazonaws.com

Je n’ai trouvé aucune documentation expliquant les critères pour les ‘two chars’ et le ‘number’. Mais après quelques tests de mon côté, je remarque que ces valeurs reviennent souvent :

• gr7
• yl4

De toute façon, ce ne sont que 3 caractères ; on peut les bruteforce. Utilisez le script ci-dessous pour générer la liste

from itertools import product
from string import ascii_lowercase

letter_combinations = product('abcdefghijklmnopqrstuvwxyz', repeat = 2)
number_combinations = product('0123456789', repeat = 1)

result = [
f'{''.join(comb[0])}{comb[1][0]}'
for comb in product(letter_combinations, number_combinations)
]

with open('out.txt', 'w') as f:
f.write('\n'.join(result))

Ensuite avec wfuzz

wfuzz -Z -z file,out.txt --hw 0 https://<cluster-id>.FUZZ.<region>.eks.amazonaws.com

Warning

N’oubliez pas de remplacer & .

Bypass CloudTrail

If an attacker obtains credentials of an AWS with permission over an EKS. If the attacker configures it’s own kubeconfig (without calling update-kubeconfig) as explained previously, the get-token doesn’t generate logs in Cloudtrail because it doesn’t interact with the AWS API (it just creates the token locally).

So when the attacker talks with the EKS cluster, cloudtrail won’t log anything related to the user being stolen and accessing it.

Note that the EKS cluster might have logs enabled that will log this access (although, by default, they are disabled).

EKS Ransom?

By default the user or role that created a cluster is ALWAYS going to have admin privileges over the cluster. And that the only “secure” access AWS will have over the Kubernetes cluster.

So, if an attacker compromises a cluster using fargate and removes all the other admins and deletes the AWS user/role that created the Cluster, l’attaquant pourrait avoir rançonné le cluster.

Tip

Notez que si le cluster utilisait des EC2 VMs, il pourrait être possible d’obtenir des privilèges Admin depuis le Node et récupérer le cluster.

En fait, si le cluster utilise Fargate, vous pourriez créer des nœuds EC2 ou migrer tout vers EC2 dans le cluster et le récupérer en accédant aux tokens sur le nœud.

Tip

Apprenez & pratiquez AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Apprenez & pratiquez GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Apprenez & pratiquez Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Soutenez HackTricks

• Consultez les subscription plans!
• Rejoignez le 💬 Discord group ou le telegram group ou suivez-nous sur Twitter 🐦 @hacktricks_live.
• Partagez des hacking tricks en soumettant des PRs aux HackTricks et HackTricks Cloud github repos.