AWS - Macie Privesc

Reading time: 3 minutes

tip

Aprenda e pratique Hacking AWS:HackTricks Training AWS Red Team Expert (ARTE)
Aprenda e pratique Hacking GCP: HackTricks Training GCP Red Team Expert (GRTE) Aprenda e pratique Hacking Azure: HackTricks Training Azure Red Team Expert (AzRTE)

Support HackTricks

Macie

Para mais informações sobre o Macie, consulte:

AWS - Macie Enum

Amazon Macie - Bypass Reveal Sample Integrity Check

AWS Macie é um serviço de segurança que detecta automaticamente dados sensíveis dentro de ambientes AWS, como credenciais, informações pessoalmente identificáveis (PII) e outros dados confidenciais. Quando o Macie identifica uma credencial sensível, como uma chave secreta da AWS armazenada em um bucket S3, ele gera uma descoberta que permite ao proprietário visualizar uma "amostra" dos dados detectados. Normalmente, uma vez que o arquivo sensível é removido do bucket S3, espera-se que o segredo não possa mais ser recuperado.

No entanto, um bypass foi identificado onde um atacante com permissões suficientes pode recarregar um arquivo com o mesmo nome mas contendo dados fictícios diferentes e não sensíveis. Isso faz com que o Macie associe o arquivo recém-carregado à descoberta original, permitindo que o atacante use o recurso "Reveal Sample" para extrair o segredo detectado anteriormente. Este problema representa um risco significativo à segurança, pois segredos que se pensava terem sido excluídos permanecem recuperáveis por meio desse método.

flow

Passos Para Reproduzir:

  1. Carregue um arquivo (por exemplo, test-secret.txt) em um bucket S3 com dados sensíveis, como uma chave secreta da AWS. Aguarde o AWS Macie escanear e gerar uma descoberta.

  2. Navegue até as Descobertas do AWS Macie, localize a descoberta gerada e use o recurso Reveal Sample para visualizar o segredo detectado.

  3. Exclua test-secret.txt do bucket S3 e verifique se ele não existe mais.

  4. Crie um novo arquivo chamado test-secret.txt com dados fictícios e recarregue-o no mesmo bucket S3 usando a conta do atacante.

  5. Retorne às Descobertas do AWS Macie, acesse a descoberta original e clique em Reveal Sample novamente.

  6. Observe que o Macie ainda revela o segredo original, apesar do arquivo ter sido excluído e substituído por conteúdo diferente de contas diferentes, neste caso será a conta do atacante.

Resumo:

Essa vulnerabilidade permite que um atacante com permissões suficientes do AWS IAM recupere segredos detectados anteriormente, mesmo após o arquivo original ter sido excluído do S3. Se uma chave secreta da AWS, token de acesso ou outra credencial sensível for exposta, um atacante pode explorar essa falha para recuperá-la e obter acesso não autorizado aos recursos da AWS. Isso pode levar a escalonamento de privilégios, acesso não autorizado a dados ou comprometimento adicional de ativos em nuvem, resultando em vazamentos de dados e interrupções de serviço.