AWS - Macie Privesc

Reading time: 3 minutes

Macie

Kwa taarifa zaidi kuhusu Macie angalia:

AWS - Macie Enum

Amazon Macie - Bypass Reveal Sample Integrity Check

AWS Macie ni huduma ya usalama inayotambua kwa otomatiki data nyeti ndani ya mazingira ya AWS, kama vile credentials, personally identifiable information (PII), na data nyingine nyeti. Wakati Macie inapotambua credential nyeti, kama vile AWS secret key iliyohifadhiwa katika S3 bucket, inatengeneza finding inayomruhusu mmiliki kuangalia "sample" ya data iliyotambuliwa. Kawaida, mara faili nyeti ikifutwa kutoka kwenye S3 bucket, inatarajiwa kwamba secret haiwezi tena kupatikana.

Hata hivyo, imegundulika kificho cha bypass ambapo attacker mwenye ruhusa za kutosha anaweza re-upload a file with the same name lakini ikiwa na data tofauti isiyonyeti ya dummy. Hii husababisha Macie kuhusisha faili iliyopakuliwa tena na finding ya awali, ikimruhusu attacker kutumia "Reveal Sample" feature kutoa secret iliyotambuliwa awali. Tatizo hili linaweka hatari kubwa ya usalama, kwa kuwa secrets ambazo zilidhaniwa kufutwa zinaendelea kupatikana kwa njia hii.

Steps To Reproduce:

1. Pakia faili (mfano, test-secret.txt) kwenye S3 bucket yenye data nyeti, kama AWS secret key. Subiri AWS Macie iskan na itengeneze finding.

2. Nenda kwenye AWS Macie Findings, pata finding iliyotengenezwa, na tumia Reveal Sample feature kuona secret iliyotambuliwa.

3. Futa test-secret.txt kutoka S3 bucket na thibitisha kwamba haipo tena.

4. Tengeneza faili mpya iitwayo test-secret.txt yenye data za dummy na uipakishe tena kwenye S3 bucket hiyo kwa kutumia attacker's account.

5. Rudi kwenye AWS Macie Findings, fungua finding ya awali, na bonyeza Reveal Sample tena.

6. Oona kwamba Macie bado inaonyesha secret ya awali, licha ya faili kufutwa na kubadilishwa na yaliyomo tofauti kutoka kwenye accounts tofauti, katika kesi yetu itakuwa the attacker's account.

Summary:

Tatizo hili linawezesha attacker mwenye ruhusa za kutosha za AWS IAM kurejesha secrets zilizotambuliwa hapo awali hata baada ya faili ya awali kufutwa kutoka S3. Ikiwa AWS secret key, access token, au credential nyingine nyeti itafichuliwa, attacker anaweza kutumia dosari hii kuipata na kupata access isiyoruhusiwa kwa rasilimali za AWS. Hii inaweza kusababisha privilege escalation, upatikanaji wa data bila idhini, au uharibifu zaidi wa cloud assets, na kusababisha data breaches na disruptions za huduma.