AWS - Macie Privesc

Reading time: 5 minutes

tip

AWSハッキングを学び、実践する：HackTricks Training AWS Red Team Expert (ARTE)
GCPハッキングを学び、実践する：HackTricks Training GCP Red Team Expert (GRTE) Azureハッキングを学び、実践する：HackTricks Training Azure Red Team Expert (AzRTE)

HackTricksをサポートする

Macie

Macieに関する詳細情報は、以下を確認してください：

AWS - Macie Enum

Amazon Macie - Reveal Sample 整合性チェックのバイパス

AWS Macieは、AWS環境内の機密データ（資格情報、個人を特定できる情報（PII）、その他の機密データ）を自動的に検出するセキュリティサービスです。MacieがS3バケットに保存されたAWSシークレットキーのような機密資格情報を特定すると、所有者が検出されたデータの「サンプル」を表示できるようにする発見を生成します。通常、機密ファイルがS3バケットから削除されると、そのシークレットはもはや取得できないと期待されます。

しかし、十分な権限を持つ攻撃者が同じ名前のファイルを再アップロードできるバイパスが特定されましたが、そのファイルには異なる非機密のダミーデータが含まれています。これにより、Macieは新しくアップロードされたファイルを元の発見に関連付け、攻撃者は**「Reveal Sample」機能**を使用して以前に検出されたシークレットを抽出できるようになります。この問題は、削除されたと考えられていたシークレットがこの方法で再取得可能であるため、重大なセキュリティリスクをもたらします。

flow

再現手順：

  1. 機密データ（例：AWSシークレットキーなど）を含むファイル（例：test-secret.txt）をS3バケットにアップロードします。AWS Macieがスキャンして発見を生成するのを待ちます。

  2. AWS Macieの発見に移動し、生成された発見を見つけて、Reveal Sample機能を使用して検出されたシークレットを表示します。

  3. S3バケットからtest-secret.txtを削除し、それが存在しないことを確認します。

  4. ダミーデータを含む新しいファイルtest-secret.txtを作成し、攻撃者のアカウントを使用して同じS3バケットに再アップロードします。

  5. AWS Macieの発見に戻り、元の発見にアクセスして、再度Reveal Sampleをクリックします。

  6. ファイルが削除され、異なる内容に置き換えられたにもかかわらず、Macieが元のシークレットをまだ表示することを観察します。異なるアカウントから、私たちの場合は攻撃者のアカウントになります。

要約：

この脆弱性により、十分なAWS IAM権限を持つ攻撃者は、元のファイルがS3から削除された後でも以前に検出されたシークレットを回復できます。AWSシークレットキー、アクセストークン、またはその他の機密資格情報が露出した場合、攻撃者はこの欠陥を利用してそれを取得し、AWSリソースへの不正アクセスを得ることができます。これにより、特権の昇格、不正なデータアクセス、またはクラウド資産のさらなる侵害が発生し、データ漏洩やサービスの中断を引き起こす可能性があります。