AWS - Macie Privesc

Tip

Ucz się & ćwicz AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się & ćwicz GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Ucz się & ćwicz Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Wspieraj HackTricks

Macie

Więcej informacji o Macie znajdziesz:

AWS - Macie Enum

Amazon Macie - Bypass Reveal Sample Integrity Check

AWS Macie to usługa bezpieczeństwa, która automatycznie wykrywa dane wrażliwe w środowiskach AWS, takie jak poświadczenia, personally identifiable information (PII) oraz inne dane poufne. Gdy Macie identyfikuje wrażliwe poświadczenie, np. AWS secret key przechowywany w S3 bucket, generuje finding, który pozwala właścicielowi zobaczyć “sample” wykrytych danych. Zazwyczaj, po usunięciu wrażliwego pliku z S3 bucket, oczekuje się, że sekret nie będzie już możliwy do odzyskania.

Zidentyfikowano jednak bypass, w którym attacker z odpowiednimi uprawnieniami może ponownie przesłać plik o tej samej nazwie, ale zawierający inne, nieszkodliwe dane testowe. Powoduje to, że Macie łączy nowo przesłany plik z oryginalnym findingiem, co pozwala attackerowi użyć funkcji “Reveal Sample” do wydobycia wcześniej wykrytego sekretu. To stanowi poważne ryzyko bezpieczeństwa, ponieważ sekrety, które uznano za usunięte, pozostają możliwe do odzyskania tą metodą.

flow

Steps To Reproduce:

  1. Prześlij plik (np. test-secret.txt) do S3 bucket zawierający wrażliwe dane, takie jak AWS secret key. Poczekaj, aż AWS Macie przeskanuje i wygeneruje finding.

  2. Przejdź do AWS Macie Findings, znajdź wygenerowany finding i użyj funkcji Reveal Sample, aby zobaczyć wykryty sekret.

  3. Usuń test-secret.txt z S3 bucket i zweryfikuj, że plik już nie istnieje.

  4. Utwórz nowy plik o nazwie test-secret.txt z danymi testowymi i ponownie prześlij go do tego samego S3 bucket, korzystając z attacker’s account.

  5. Wróć do AWS Macie Findings, otwórz oryginalny finding i ponownie kliknij Reveal Sample.

  6. Zauważ, że Macie nadal ujawnia oryginalny sekret, mimo że plik został usunięty i zastąpiony inną zawartością z różnych kont, w naszym przypadku będzie to attacker’s account.

Summary:

Ta luka pozwala attackerowi z odpowiednimi uprawnieniami AWS IAM odzyskać wcześniej wykryte sekrety nawet po tym, jak oryginalny plik został usunięty z S3. Jeśli AWS secret key, access token lub inne wrażliwe poświadczenie zostanie ujawnione, attacker mógłby wykorzystać tę wadę do jego odzyskania i uzyskania nieautoryzowanego dostępu do zasobów AWS. Może to prowadzić do privilege escalation, nieautoryzowanego dostępu do danych lub dalszego kompromitowania zasobów chmurowych, skutkując wyciekami danych i zakłóceniami usług.

Tip

Ucz się & ćwicz AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Ucz się & ćwicz GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
Ucz się & ćwicz Az Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Wspieraj HackTricks