Privilege Escalation EKS T1078.004 Persistence

Rolle an EKS Pod Identity übergeben

Kann eine privilegierte Rolle über eine neue Pod-Identity-Association an einen Angreifer-Pod binden.

Ermöglicht Eskalation nur in Kombination. All diese sind zusammen erforderlich:

eks:CreatePodIdentityAssociationiam:PassRole

Wichtigste Erkenntnis

iam:PassRole kann eine privilegierte Rolle über eine neue Pod-Identity-Zuordnung an einen Angreifer-Pod binden, aber nur, wenn sie zusammen mit eks:CreatePodIdentityAssociation gehalten wird. Gemeinsam gehalten erreichen sie Administratorzugriff.

Wie ein Angreifer von dieser Berechtigung aus vorgeht.

In Pathbreak erkunden

Warum es gefährlich ist

Ein Principal kann eks:CreatePodIdentityAssociation aufrufen, um die privilegierte Rolle auf ein Service-Konto abzubilden, das er kontrolliert, und dann einen Pod als dieses Konto ausführen, um die Zielrolle über den EKS-Pod-Identity-Agent zu übernehmen.

In MITRE ATT&CK entspricht dies T1078.004, Valid Accounts: Cloud Accounts, unter der Taktik Privilege Escalation. AWS protokolliert dies in CloudTrail als CreatePodIdentityAssociation. Der Aufruf erscheint in CloudTrail, geht aber in der normalen Administration unter, daher braucht es eine Regel, damit er auffällt. Er gibt einem Angreifer außerdem eine Möglichkeit, den Zugriff zu behalten, nachdem der erste Zugang geschlossen wurde, daher lohnt es sich, ihn zu beobachten, auch wenn er wie routinemäßige Administration aussieht.

Erkennung

CreatePodIdentityAssociation

Voraussetzungen

eks:CreatePodIdentityAssociation + iam:PassRole für eine Rolle, die pods.eks.amazonaws.com vertraut, und Pod-Scheduling-Reichweite auf dem Cluster.

MITRE ATT&CK

T1078.004 · Valid Accounts: Cloud Accounts

Taktik

Privilege Escalation

Den Pfad unterbrechen

Eine Maßnahme, die ihn beseitigen würde: iam:PassRole für Rollen, die pods.eks.amazonaws.com vertrauen, einschränken; eks:CreatePodIdentityAssociation auf Cluster-Admins beschränken.

Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrer Umgebung verwendet wird, daher ist es eine geschäftliche Entscheidung und keine automatische Behebung. Dieselbe Berechtigung kann in einem Konto tragend und in einem anderen reines Risiko sein.

Pathbreak bestätigt, ob dieser Pfad in Ihrem Konto auflösbar ist, stuft ihn gegenüber den anderen danach ein, wie viel er eröffnet, und nutzt Ihr Bedrohungsmodell und Ihren Geschäftskontext, um zu zeigen, welche Pfade es wert sind, unterbrochen zu werden.

Fragen

Was erlaubt iam:PassRole?

Kann eine privilegierte Rolle über eine neue Pod-Identity-Association an einen Angreifer-Pod binden.

Was ist außerdem nötig, damit iam:PassRole gefährlich ist?

Es wird erst zur Eskalation, wenn es mit eks:CreatePodIdentityAssociation kombiniert wird. Für sich allein reicht es nicht aus, was die Kombination leicht übersehbar macht.

Wie wird das Übergeben einer Rolle an EKS Pod Identity erkannt?

Achten Sie in CloudTrail auf CreatePodIdentityAssociation. Der Aufruf erscheint in CloudTrail, geht aber in der normalen Administration unter, daher braucht es eine Regel, damit er auffällt.

Wie unterbricht man diesen Pfad?

Eine Maßnahme, die ihn beseitigen würde, ist: Beschränken Sie iam:PassRole für Rollen, die pods.eks.amazonaws.com vertrauen; beschränken Sie eks:CreatePodIdentityAssociation auf Cluster-Administratoren. Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrem Konto verwendet wird, es ist also eine geschäftliche Entscheidung und keine automatische Behebung.

Welche MITRE ATT&CK Technik ist das?

T1078.004, Valid Accounts: Cloud Accounts, unter der Taktik Privilege Escalation.

Referenzen

https://attack.mitre.org/techniques/T1078/004/

Finden Sie dies in Ihrem eigenen Konto

Wir führen einen schreibgeschützten Scan eines AWS-Kontos durch und zeigen Ihnen, welche dieser Pfade existieren, nach Blast-Radius priorisiert, mit der Änderung, die jeden einzelnen unterbricht. Erste validierte Pfade innerhalb der Stunde.

Kostenlosen Scan anfragen Sehen Sie sich das 7-minütige Walkthrough an