AWS - Route53 Privesc

Reading time: 3 minutes

Route53 के बारे में अधिक जानकारी के लिए देखें:

AWS - Route53 Enum

route53:CreateHostedZone, route53:ChangeResourceRecordSets, acm-pca:IssueCertificate, acm-pca:GetCertificate

Other permissions recommend but not required for the enumeration part: route53:GetHostedZone, route53:ListHostedZones, acm-pca:ListCertificateAuthorities, ec2:DescribeVpcs

मान लीजिए एक AWS VPC है जिसमें कई क्लाउड-नेटिव एप्लिकेशन एक दूसरे और AWS API से संवाद कर रही हैं। चूँकि microservices के बीच संचार अक्सर TLS एन्क्रिप्टेड होता है, उन सेवाओं के लिए वैध प्रमाणपत्र जारी करने के लिए एक private CA की आवश्यकता होती है। If ACM-PCA is used for that and the adversary manages to get access to control both route53 and acm-pca private CA with the minimum set of permissions described above, it can hijack the application calls to AWS API taking over their IAM permissions.

यह इसलिए संभव है:

• AWS SDKs में Certificate Pinning नहीं होता है
• Route53 Private Hosted Zone और DNS रिकॉर्ड AWS APIs डोमेन नामों के लिए बनाने की अनुमति देता है
• ACM-PCA में Private CA को सिर्फ specific Common Names के लिए ही प्रमाणपत्र साइन करने तक प्रतिबंधित नहीं किया जा सकता

Potential Impact: ट्रैफ़िक में संवेदनशील जानकारी को इंटरसेप्ट करके अप्रत्यक्ष privesc

Exploitation

मूल रिसर्च में एक्सप्लॉइटेशन के चरण देखें: https://niebardzo.github.io/2022-03-11-aws-hijacking-route53/