AWS - Macie Privesc

Reading time: 3 minutes

Macie

Pour plus d'informations sur Macie, consultez :

AWS - Macie Enum

Amazon Macie - Contournement de la vérification d'intégrité Reveal Sample

AWS Macie est un service de sécurité qui détecte automatiquement les données sensibles dans les environnements AWS, telles que les identifiants, les informations personnellement identifiables (PII) et d'autres données confidentielles. Lorsque Macie identifie un identifiant sensible, tel qu'une clé secrète AWS stockée dans un bucket S3, il génère une découverte qui permet au propriétaire de voir un "échantillon" des données détectées. En général, une fois le fichier sensible supprimé du bucket S3, on s'attend à ce que le secret ne puisse plus être récupéré.

Cependant, un contournement a été identifié où un attaquant disposant de permissions suffisantes peut re-télécharger un fichier avec le même nom mais contenant des données factices non sensibles. Cela amène Macie à associer le fichier nouvellement téléchargé à la découverte originale, permettant à l'attaquant d'utiliser la fonctionnalité "Reveal Sample" pour extraire le secret précédemment détecté. Ce problème pose un risque de sécurité significatif, car les secrets qui étaient supposés être supprimés restent récupérables par ce moyen.

Étapes à reproduire :

1. Téléchargez un fichier (par exemple, test-secret.txt) dans un bucket S3 avec des données sensibles, telles qu'une clé secrète AWS. Attendez qu'AWS Macie scanne et génère une découverte.

2. Accédez aux découvertes AWS Macie, localisez la découverte générée et utilisez la fonctionnalité Reveal Sample pour voir le secret détecté.

3. Supprimez test-secret.txt du bucket S3 et vérifiez qu'il n'existe plus.

4. Créez un nouveau fichier nommé test-secret.txt avec des données factices et re-téléchargez-le dans le même bucket S3 en utilisant le compte de l'attaquant.

5. Retournez aux découvertes AWS Macie, accédez à la découverte originale et cliquez à nouveau sur Reveal Sample.

6. Observez que Macie révèle toujours le secret original, malgré le fait que le fichier ait été supprimé et remplacé par un contenu différent provenant de comptes différents, dans notre cas ce sera le compte de l'attaquant.

Résumé :

Cette vulnérabilité permet à un attaquant disposant de permissions AWS IAM suffisantes de récupérer des secrets précédemment détectés même après que le fichier original a été supprimé de S3. Si une clé secrète AWS, un jeton d'accès ou un autre identifiant sensible est exposé, un attaquant pourrait exploiter ce défaut pour le récupérer et obtenir un accès non autorisé aux ressources AWS. Cela pourrait entraîner une élévation de privilèges, un accès non autorisé aux données ou un compromis supplémentaire des actifs cloud, entraînant des violations de données et des interruptions de service.