AWS - Macie Privesc

Tip

AWS Hacking’i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE)
GCP Hacking’i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE)
Az Hacking’i öğrenin ve pratik yapın: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks'i Destekleyin

Macie

Daha fazla bilgi için Macie’ye bakın:

AWS - Macie Enum

Amazon Macie - Bypass Reveal Sample Integrity Check

AWS Macie, AWS ortamlarındaki kimlik bilgileri, kişisel olarak tanımlanabilir bilgiler (PII) ve diğer gizli veriler gibi hassas verileri otomatik olarak tespit eden bir güvenlik servisidir. Macie, bir S3 bucket içinde saklanan AWS secret key gibi hassas bir kimlik bilgisi tespit ettiğinde, sahibinin tespit edilen verinin bir “sample“ını görüntülemesine izin veren bir finding oluşturur. Genellikle, hassas dosya S3 bucket’tan kaldırıldığında, secret’ın artık erişilemez olduğu varsayılır.

Ancak, yeterli izne sahip bir saldırganın aynı isimle fakat farklı, hassas olmayan dummy veri içeren bir dosyayı yeniden yükleyebilmesiyle bir bypass tespit edilmiştir. Bu durum Macie’nin yeni yüklenen dosyayı orijinal finding ile ilişkilendirmesine neden olur ve saldırganın orijinal secret’ı çıkarmak için “Reveal Sample” feature’ını kullanmasına olanak sağlar. Bu sorun, silinmiş olduğu varsayılan secret’ların bu yöntemle halen elde edilebilir olması nedeniyle ciddi bir güvenlik riski oluşturur.

flow

Yeniden Üretme Adımları:

  1. S3 bucket’a test-secret.txt gibi içinde AWS secret key gibi hassas veri bulunan bir dosya yükleyin. AWS Macie’nin tarayıp bir finding oluşturmasını bekleyin.

  2. AWS Macie Findings’e gidin, oluşturulan finding’i bulun ve tespit edilen secret’ı görüntülemek için Reveal Sample özelliğini kullanın.

  3. S3 bucket’tan test-secret.txt dosyasını silin ve artık mevcut olmadığını doğrulayın.

  4. Aynı isimde (test-secret.txt) dummy veri içeren yeni bir dosya oluşturun ve saldırganın hesabı kullanılarak aynı S3 bucket’a yeniden yükleyin.

  5. AWS Macie Findings’e geri dönün, orijinal finding’e erişin ve tekrar Reveal Sample’a tıklayın.

  6. Macie’nin, dosya silinip farklı içerikle değiştirilmiş olmasına rağmen orijinal secret’ı hâlâ açığa çıkardığını gözlemleyin — bu durumda içerik farklı hesaplardan, bizim örneğimizde saldırganın hesabından yüklenmiş olsa bile.

Özet:

Bu zafiyet, yeterli AWS IAM izinlerine sahip bir saldırganın, orijinal dosya S3’ten silindikten sonra bile daha önce tespit edilmiş secret’ları geri kazanmasına olanak tanır. Bir AWS secret key, access token veya başka bir hassas kimlik bilgisi sızdırıldıysa, saldırgan bu açığı kullanarak bunları alıp AWS kaynaklarına yetkisiz erişim elde edebilir. Bu durum privilege escalation, yetkisiz veri erişimi veya bulut varlıklarının daha fazla kompromize olmasıyla sonuçlanarak veri ihlallerine ve hizmet kesintilerine yol açabilir.

Tip

AWS Hacking’i öğrenin ve pratik yapın:HackTricks Training AWS Red Team Expert (ARTE)
GCP Hacking’i öğrenin ve pratik yapın: HackTricks Training GCP Red Team Expert (GRTE)
Az Hacking’i öğrenin ve pratik yapın: HackTricks Training Azure Red Team Expert (AzRTE)

HackTricks'i Destekleyin