تصعيد الامتيازات SageMaker T1648

تمرير الدور إلى مهمة ضبط SageMaker

يمكنه تمرير دور إلى مهمة ضبط SageMaker وتشغيل حاوية مهاجم بصلاحيات الدور.

يمنح التصعيد في التركيب فقط. كل ما يلي مطلوب معاً:

iam:PassRolesagemaker:CreateHyperParameterTuningJob

الخلاصة الأساسية

يمكن لـ iam:PassRole تمرير دور إلى مهمة ضبط SageMaker وتشغيل حاوية المهاجم بصفته، لكن فقط عند امتلاكه مع sagemaker:CreateHyperParameterTuningJob. ومعاً يصلان إلى وصول المسؤول.

كيف ينتقل المهاجم من هذا الإذن.

استكشف هذا في Pathbreak

لماذا هو خطير

يمكن لجهة أساسية استدعاء sagemaker:CreateHyperParameterTuningJob مع تمرير الدور، ما يطلق حاويات تدريب يتحكم بها المهاجم وتنفّذ بصفة الدور المستهدف.

وفق مصطلحات MITRE ATT&CK، يقابل هذا T1648، التنفيذ بلا خادم، ضمن تكتيك تصعيد الامتيازات. يسجّله AWS في CloudTrail باسم CreateHyperParameterTuningJob. تظهر هذه العملية في CloudTrail لكنها تمتزج مع الإدارة الاعتيادية، لذا تحتاج إلى قاعدة لإبرازها.

الكشف

CreateHyperParameterTuningJob

المتطلبات المسبقة

iam:PassRole لدور يثق بـ sagemaker.amazonaws.com.

MITRE ATT&CK

T1648 · تنفيذ بلا خادم

تكتيك

تصعيد الامتيازات

كسر المسار

من الضوابط التي قد تزيله: تحديد نطاق iam:PassRole للأدوار التي تثق بـ sagemaker.amazonaws.com، مع تقييد sagemaker:CreateHyperParameterTuningJob.

يتوقف تطبيقه على كيفية استخدام الإذن في بيئتك، فهو قرار عمل لا إصلاح تلقائي. فالإذن نفسه قد يكون أساسياً في حساب وخطراً محضاً في حساب آخر.

يؤكّد Pathbreak ما إذا كان هذا المسار يتحقق في حسابك، ويرتّبه مقابل الآخرين حسب مقدار ما يفتحه، ويستخدم نموذج التهديد وسياق عملك لإظهار المسارات التي تستحق القطع.

أسئلة

ماذا يتيح iam:PassRole؟

يمكنه تمرير دور إلى مهمة ضبط SageMaker وتشغيل حاوية مهاجم بصلاحيات الدور.

ما الذي يلزم أيضاً لكي يصبح iam:PassRole خطيراً؟

لا يصبح تصعيداً إلا عند امتلاكه مع sagemaker:CreateHyperParameterTuningJob. وحده لا يكفي، وهذا ما يجعل التركيبة سهلة التفويت.

كيف يتم كشف تمرير الدور إلى مهمة ضبط SageMaker؟

راقب CreateHyperParameterTuningJob في CloudTrail. يظهر الاستدعاء في CloudTrail لكنه يندمج مع الإدارة الاعتيادية، لذا يحتاج إلى قاعدة لكي يبرز.

كيف تكسر هذا المسار؟

من الضوابط التي قد تزيله: حدّد نطاق iam:PassRole للأدوار التي تثق بـ sagemaker.amazonaws.com؛ وقيّد sagemaker:CreateHyperParameterTuningJob. يعتمد تطبيقه على كيفية استخدام الإذن في حسابك، لذا فهو قرار يخص العمل وليس إصلاحاً تلقائياً.

ما تقنية MITRE ATT&CK هذه؟

T1648، تنفيذ بلا خادم، ضمن تكتيك تصعيد الامتيازات.

المسارات ذات الصلة

الخدمة نفسهاتمرير الدور إلى نقطة نهاية نموذج SageMakeriam:PassRole الخدمة نفسهااختطاف دفتر SageMaker عبر إعداد دورة الحياةsagemaker:UpdateNotebookInstance الخدمة نفسهااختطاف دفتر SageMaker عبر عنوان URL موقّع مسبقاًsagemaker:CreatePresignedNotebookInstanceUrl الخدمة نفسهاتمرير الدور إلى SageMakeriam:PassRole الخدمة نفسهاتمرير الدور إلى مهمة معالجة SageMakeriam:PassRole الخدمة نفسهاتمرير الدور إلى مهمة تدريب SageMakeriam:PassRole

المراجع

اعثر على هذا في حسابك الخاص

نُجري فحصاً للقراءة فقط لحساب AWS واحد ونعرض لك أيّ هذه المسارات موجود، مُرتَّباً حسب نطاق الأثر، مع التغيير الذي يكسر كل واحد منها. أول المسارات المتحقَّق منها خلال ساعة.

اطلب فحصاً مجانياً شاهد الشرح الذي تبلغ مدته 7 دقائق