AWS - Macie Privesc

Tip

Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Učite i vežbajte GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Učite i vežbajte Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Podržite HackTricks

Macie

Za više informacija o Macie pogledajte:

AWS - Macie Enum

Amazon Macie - Bypass Reveal Sample Integrity Check

AWS Macie je bezbednosna usluga koja automatski detektuje osetljive podatke u AWS okruženjima, kao što su credentials, personally identifiable information (PII) i drugi poverljivi podaci. Kada Macie identifikuje osetljivu credential, kao što je AWS secret key smešten u S3 bucket, generiše finding koji vlasniku omogućava da pogleda “sample” detektovanih podataka. Tipično se očekuje da, kada se osetljivi fajl ukloni iz S3 bucketa, taj secret više ne može biti vraćen.

Međutim, identifikovan je bypass gde attacker sa dovoljnim permissions može re-upload a file with the same name ali koji sadrži različite, neosetljive dummy podatke. To navodi Macie da poveže novootpremljeni fajl sa originalnim finding-om, što attacker-u omogućava da upotrebom “Reveal Sample” feature izvuče prethodno detektovani secret. Ovaj problem predstavlja ozbiljan bezbednosni rizik, jer se secret-i koji su smatrani obrisanim i dalje mogu vratiti putem ove metode.

flow

Koraci za reprodukciju:

  1. Otpremite fajl (npr. test-secret.txt) u S3 bucket koji sadrži osetljive podatke, kao što je AWS secret key. Sačekajte da AWS Macie izvrši skeniranje i generiše finding.

  2. Idite na AWS Macie Findings, pronađite generisani finding i koristite funkciju Reveal Sample da pogledate detektovani secret.

  3. Obrišite test-secret.txt iz S3 bucketa i potvrdite da više ne postoji.

  4. Kreirajte novi fajl pod imenom test-secret.txt sa dummy podacima i ponovo ga otpremite u isti S3 bucket koristeći attacker’s account.

  5. Vratite se na AWS Macie Findings, otvorite originalni finding i ponovo kliknite Reveal Sample.

  6. Primetićete da Macie i dalje otkriva originalni secret, uprkos tome što je fajl obrisan i zamenjen različitim sadržajem iz različitih naloga, u našem slučaju to će biti attacker’s account.

Summary:

Ova ranjivost omogućava attacker-u sa dovoljnim AWS IAM permissions da povrati ranije detektovane secrets čak i nakon što je originalni fajl obrisan iz S3. Ako je AWS secret key, access token, ili neki drugi osetljivi credential izložen, attacker može iskoristiti ovu slabost da ga povrati i dobije unauthorized access do AWS resursa. To može dovesti do privilege escalation, unauthorized data access, ili daljeg kompromitovanja cloud assets, što može rezultovati data breaches i prekidima usluga.

Tip

Učite i vežbajte AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE)
Učite i vežbajte GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE) Učite i vežbajte Azure Hacking: HackTricks Training Azure Red Team Expert (AzRTE)

Podržite HackTricks