English
Español
Français
Deutsch
日本語
한국어
العربيةGlue-Dev-Endpoint-Rolle kapern
Kann einen SSH-Schlüssel in einen Glue-Dev-Endpoint einschleusen und eine Session als dessen Rolle ausführen.
Ermöglicht Eskalation für sich allein.
glue:UpdateDevEndpointFür sich allein kann glue:UpdateDevEndpoint einen SSH-Schlüssel in einen Glue-Dev-Endpoint einschleusen und eine Sitzung als dessen Rolle ausführen. Bei einem weiten Ressourcenbereich erreicht dies allein Administratorzugriff.
Warum es gefährlich ist
Ein Principal kann glue:UpdateDevEndpoint auf einem bestehenden Glue-Development-Endpoint aufrufen, der die Rolle bereits trägt, und einen Angreifer-SSH-Public-Key (addPublicKeys) oder benutzerdefinierte Bibliotheken einschleusen. Der Angreifer steigt dann per SSH in den Endpoint ein und erhält eine interaktive Session, die als Zielrolle läuft, ohne iam:PassRole, weil die Zielrolle bereits an den Endpoint gebunden ist. Die Session liest die aktiven temporären Anmeldeinformationen der Zielrolle direkt; ist die Zielrolle privilegiert, ist dies eine vollständige Privilege Escalation gegen eine Ressource, der bereits vertraut wurde.
In MITRE ATT&CK entspricht dies T1578, Modify Cloud Compute Infrastructure, unter der Taktik Privilege Escalation. AWS protokolliert dies in CloudTrail als UpdateDevEndpoint. Der Aufruf erscheint in CloudTrail, geht aber in der normalen Administration unter, daher braucht es eine Regel, damit er auffällt.
Erkennung
UpdateDevEndpointVoraussetzungen
Ein bestehender Glue Dev Endpoint mit angehängter Rolle; Berechtigung, ihn zu aktualisieren. Das Hinzufügen von öffentlichen SSH-Schlüsseln / benutzerdefinierten Bibliotheken zum Endpoint muss erlaubt sein (die Voreinstellung).
MITRE ATT&CK
T1578 · Modify Cloud Compute InfrastructureTaktik
Privilege Escalation
Eine Maßnahme, die ihn beseitigen würde: glue:UpdateDevEndpoint bei Dev-Endpoints beschränken, die eine privilegierte Rolle tragen; das Hinzufügen von öffentlichen SSH-Schlüsseln / benutzerdefinierten Bibliotheken zu bestehenden Endpoints nicht zulassen.
Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrer Umgebung verwendet wird, daher ist es eine geschäftliche Entscheidung und keine automatische Behebung. Dieselbe Berechtigung kann in einem Konto tragend und in einem anderen reines Risiko sein.
Pathbreak bestätigt, ob dieser Pfad in Ihrem Konto auflösbar ist, stuft ihn gegenüber den anderen danach ein, wie viel er eröffnet, und nutzt Ihr Bedrohungsmodell und Ihren Geschäftskontext, um zu zeigen, welche Pfade es wert sind, unterbrochen zu werden.
Fragen
Was erlaubt glue:UpdateDevEndpoint?
Kann einen SSH-Schlüssel in einen Glue-Dev-Endpoint einschleusen und eine Session als dessen Rolle ausführen.
Kann glue:UpdateDevEndpoint allein Privilegien eskalieren?
Ja. Auf einer ausreichend breiten Ressource gehalten, erreicht sie ohne weitere Berechtigung Administratorzugriff.
Wie wird das Kapern einer Glue-Dev-Endpoint-Rolle erkannt?
Achten Sie in CloudTrail auf UpdateDevEndpoint. Der Aufruf erscheint in CloudTrail, geht aber in der normalen Administration unter, daher braucht es eine Regel, damit er auffällt.
Wie unterbricht man diesen Pfad?
Eine Maßnahme, die ihn beseitigen würde, ist: Beschränken Sie glue:UpdateDevEndpoint bei Dev-Endpoints, die eine privilegierte Rolle tragen; untersagen Sie das Hinzufügen von öffentlichen SSH-Schlüsseln / benutzerdefinierten Bibliotheken zu bestehenden Endpoints. Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrem Konto verwendet wird, es ist also eine geschäftliche Entscheidung und keine automatische Behebung.
Welche MITRE ATT&CK Technik ist das?
T1578, Modify Cloud Compute Infrastructure, unter der Taktik Privilege Escalation.
Verwandte Pfade
Referenzen
Finden Sie dies in Ihrem eigenen Konto
Wir führen einen schreibgeschützten Scan eines AWS-Kontos durch und zeigen Ihnen, welche dieser Pfade existieren, nach Blast-Radius priorisiert, mit der Änderung, die jeden einzelnen unterbricht. Erste validierte Pfade innerhalb der Stunde.