AWS - CodeBuild ポストエクスプロイテーション

Reading time: 7 minutes

CodeBuild

詳細については、次を確認してください：

AWS - Codebuild Enum

シークレットの確認

もし認証情報がCodebuildに設定されてGithub、Gitlab、またはBitbucketに接続するための個人トークン、パスワード、またはOAuthトークンアクセスの形で設定されている場合、これらの認証情報はシークレットマネージャーにシークレットとして保存されます。
したがって、シークレットマネージャーを読み取るアクセス権があれば、これらのシークレットを取得し、接続されたプラットフォームにピボットすることができます。

AWS - Secrets Manager Privesc

CodeBuild リポジトリアクセスの悪用

CodeBuildを構成するためには、使用するコードリポジトリへのアクセスが必要です。このコードをホストしているプラットフォームはいくつかあります：

CodeBuildプロジェクトは、設定されたソースプロバイダーへのアクセスを持っている必要があります。これはIAMロールを介して、またはgithub/bitbucketのトークンまたはOAuthアクセスを介して行われます。

CodeBuildで昇格した権限を持つ攻撃者は、この設定されたアクセスを悪用して、設定されたリポジトリのコードや、設定された認証情報がアクセスできる他のリポジトリを漏洩させることができます。
これを行うために、攻撃者は単に設定された認証情報がアクセスできる各リポジトリのリポジトリURLを変更する必要があります（awsのウェブサイトがすべてをリストアップします）：

そして、各リポジトリを外部流出させるためにBuildspecコマンドを変更します。

AWS CodeBuildからのアクセス・トークンの漏洩

CodeBuildで与えられたアクセスをGithubなどのプラットフォームに漏洩させることができます。外部プラットフォームへのアクセスが与えられているか確認してください：

aws codebuild list-source-credentials

AWS Codebuild - Token Leakage

codebuild:DeleteProject

攻撃者は、CodeBuildプロジェクト全体を削除することができ、プロジェクトの設定が失われ、プロジェクトに依存するアプリケーションに影響を与える可能性があります。

aws codebuild delete-project --name <value>

潜在的な影響: 削除されたプロジェクトを使用しているアプリケーションのプロジェクト構成の喪失とサービスの中断。

codebuild:TagResource , codebuild:UntagResource

攻撃者はCodeBuildリソースからタグを追加、変更、または削除することができ、タグに基づく組織のコスト配分、リソース追跡、およびアクセス制御ポリシーを混乱させる可能性があります。

aws codebuild tag-resource --resource-arn <value> --tags <value>
aws codebuild untag-resource --resource-arn <value> --tag-keys <value>

潜在的な影響: コスト配分、リソース追跡、およびタグベースのアクセス制御ポリシーの混乱。

codebuild:DeleteSourceCredentials

攻撃者はGitリポジトリのソース認証情報を削除することができ、リポジトリに依存するアプリケーションの正常な機能に影響を与える可能性があります。

aws codebuild delete-source-credentials --arn <value>

潜在的な影響: ソース認証情報の削除により、影響を受けたリポジトリに依存するアプリケーションの正常な機能が妨げられること。