Az - Service Bus Pós Exploração

Reading time: 7 minutes

Service Bus

Para mais informações, consulte:

Az - Service Bus

Ações: Microsoft.ServiceBus/namespaces/Delete

Um atacante com esta permissão pode excluir todo um namespace do Azure Service Bus. Esta ação remove o namespace e todos os recursos associados, incluindo filas, tópicos, assinaturas e suas mensagens, causando ampla interrupção e perda permanente de dados em todos os sistemas e fluxos de trabalho dependentes.

az servicebus namespace delete --resource-group <ResourceGroupName> --name <NamespaceName>

Ações: Microsoft.ServiceBus/namespaces/topics/Delete

Um atacante com essa permissão pode excluir um tópico do Azure Service Bus. Essa ação remove o tópico e todas as suas assinaturas e mensagens associadas, potencialmente causando perda de dados críticos e interrompendo sistemas e fluxos de trabalho que dependem do tópico.

az servicebus topic delete --resource-group <ResourceGroupName> --namespace-name <NamespaceName> --name <TopicName>

Ações: Microsoft.ServiceBus/namespaces/queues/Delete

Um atacante com essa permissão pode excluir uma fila do Azure Service Bus. Essa ação remove a fila e todas as mensagens dentro dela, potencialmente causando perda de dados críticos e interrompendo sistemas e fluxos de trabalho dependentes da fila.

az servicebus queue delete --resource-group <ResourceGroupName> --namespace-name <NamespaceName> --name <QueueName>

Ações: Microsoft.ServiceBus/namespaces/topics/subscriptions/Delete

Um atacante com essa permissão pode excluir uma assinatura do Azure Service Bus. Essa ação remove a assinatura e todas as suas mensagens associadas, potencialmente interrompendo fluxos de trabalho, processamento de dados e operações do sistema que dependem da assinatura.

az servicebus topic subscription delete --resource-group <ResourceGroupName> --namespace-name <NamespaceName> --topic-name <TopicName> --name <SubscriptionName>

Ações: Microsoft.ServiceBus/namespaces/queues/write (Microsoft.ServiceBus/namespaces/queues/read)

Um atacante com permissões para criar ou modificar filas do Azure Service Bus (para modificar a fila, você também precisará da Ação: Microsoft.ServiceBus/namespaces/queues/read) pode explorar isso para interceptar dados, interromper fluxos de trabalho ou permitir acesso não autorizado. Eles podem alterar configurações críticas, como encaminhar mensagens para endpoints maliciosos, ajustar o TTL das mensagens para reter ou excluir dados de forma inadequada, ou habilitar o dead-lettering para interferir no tratamento de erros. Além disso, eles poderiam manipular tamanhos de fila, durações de bloqueio ou status para interromper a funcionalidade do serviço ou evitar detecção, tornando isso um risco significativo de pós-exploração.

az servicebus queue create --resource-group <ResourceGroupName> --namespace-name <NamespaceName> --name <QueueName>
az servicebus queue update --resource-group <ResourceGroupName> --namespace-name <NamespaceName> --name <QueueName>

Ações: Microsoft.ServiceBus/namespaces/topics/write (Microsoft.ServiceBus/namespaces/topics/read)

Um atacante com permissões para criar ou modificar tópicos (para modificar o tópico você também precisará da Ação: Microsoft.ServiceBus/namespaces/topics/read) dentro de um namespace do Azure Service Bus pode explorar isso para interromper fluxos de mensagens, expor dados sensíveis ou habilitar ações não autorizadas. Usando comandos como az servicebus topic update, eles podem manipular configurações, como habilitar particionamento para uso indevido de escalabilidade, alterar configurações de TTL para reter ou descartar mensagens de forma inadequada, ou desabilitar a detecção de duplicatas para contornar controles. Além disso, eles poderiam ajustar limites de tamanho de tópicos, mudar o status para interromper a disponibilidade ou configurar tópicos expressos para armazenar temporariamente mensagens interceptadas, tornando a gestão de tópicos um foco crítico para mitigação pós-exploração.

az servicebus topic create --resource-group <ResourceGroupName> --namespace-name <NamespaceName> --name <TopicName>
az servicebus topic update --resource-group <ResourceGroupName> --namespace-name <NamespaceName> --name <TopicName>

Ações: Microsoft.ServiceBus/namespaces/topics/subscriptions/write (Microsoft.ServiceBus/namespaces/topics/subscriptions/read)

Um atacante com permissões para criar ou modificar assinaturas (para modificar a assinatura, você também precisará da Ação: Microsoft.ServiceBus/namespaces/topics/subscriptions/read) dentro de um tópico do Azure Service Bus pode explorar isso para interceptar, redirecionar ou interromper fluxos de mensagens. Usando comandos como az servicebus topic subscription update, eles podem manipular configurações, como habilitar dead lettering para desviar mensagens, encaminhar mensagens para endpoints não autorizados ou modificar a duração do TTL e do bloqueio para reter ou interferir na entrega de mensagens. Além disso, eles podem alterar configurações de status ou contagem máxima de entrega para interromper operações ou evitar detecção, tornando o controle de assinaturas um aspecto crítico de cenários de pós-exploração.

az servicebus topic subscription create --resource-group <ResourceGroupName> --namespace-name <NamespaceName> --topic-name <TopicName> --name <SubscriptionName>
az servicebus topic subscription update --resource-group <ResourceGroupName> --namespace-name <NamespaceName> --topic-name <TopicName> --name <SubscriptionName>

Ações: AuthorizationRules Enviar & Receber Mensagens

Dê uma olhada aqui:

Az - Queue Storage Privesc

Referências

• https://learn.microsoft.com/en-us/azure/storage/queues/storage-powershell-how-to-use-queues
• https://learn.microsoft.com/en-us/rest/api/storageservices/queue-service-rest-api
• https://learn.microsoft.com/en-us/azure/storage/queues/queues-auth-abac-attributes
• https://learn.microsoft.com/en-us/azure/service-bus-messaging/service-bus-python-how-to-use-topics-subscriptions?tabs=passwordless
• https://learn.microsoft.com/en-us/azure/role-based-access-control/permissions/integration#microsoftservicebus
• https://learn.microsoft.com/en-us/cli/azure/servicebus/namespace?view=azure-cli-latest
• https://learn.microsoft.com/en-us/cli/azure/servicebus/queue?view=azure-cli-latest