English
Español
Français
Deutsch
日本語
한국어
العربيةOIDC-Provider-Audience als Backdoor einrichten
Kann einem vertrauenswürdigen OIDC-Provider eine Angreifer-Audience hinzufügen.
Ermöglicht Eskalation für sich allein.
iam:AddClientIDToOpenIDConnectProviderFür sich allein kann iam:AddClientIDToOpenIDConnectProvider einem vertrauenswürdigen OIDC-Provider eine Angreifer-Audience hinzufügen. Bei einem weiten Ressourcenbereich erreicht dies allein einen dauerhaften Wiedereinstieg.
Warum es gefährlich ist
Ein Principal kann iam:AddClientIDToOpenIDConnectProvider aufrufen, um eine vom Angreifer kontrollierte Audience bei einem vertrauenswürdigen OIDC-Provider zu registrieren, dann ein passendes Token erzeugen und sts:AssumeRoleWithWebIdentity in die Rolle aufrufen, die diesem Provider vertraut.
In MITRE ATT&CK entspricht dies T1556, Modify Authentication Process, unter der Taktik Persistence. AWS protokolliert dies in CloudTrail als AddClientIDToOpenIDConnectProvider. Der Aufruf ist gegenüber normaler Aktivität unauffällig, daher ist er ohne passende Regel leicht zu übersehen. Er gibt einem Angreifer außerdem eine Möglichkeit, den Zugriff zu behalten, nachdem der erste Zugang geschlossen wurde, daher lohnt es sich, ihn zu beobachten, auch wenn er wie routinemäßige Administration aussieht.
Erkennung
AddClientIDToOpenIDConnectProviderVoraussetzungen
Eine Rolle, deren Vertrauensrichtlinie die hinzugefügte Audience für den Provider akzeptiert.
MITRE ATT&CK
T1556 · Modify Authentication ProcessTaktik
Persistence
Eine Maßnahme, die ihn beseitigen würde: iam:AddClientIDToOpenIDConnectProvider auf eine Break-Glass-Rolle beschränken; bei Änderungen an OIDC-Providern alarmieren.
Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrer Umgebung verwendet wird, daher ist es eine geschäftliche Entscheidung und keine automatische Behebung. Dieselbe Berechtigung kann in einem Konto tragend und in einem anderen reines Risiko sein.
Pathbreak bestätigt, ob dieser Pfad in Ihrem Konto auflösbar ist, stuft ihn gegenüber den anderen danach ein, wie viel er eröffnet, und nutzt Ihr Bedrohungsmodell und Ihren Geschäftskontext, um zu zeigen, welche Pfade es wert sind, unterbrochen zu werden.
Fragen
Was erlaubt iam:AddClientIDToOpenIDConnectProvider?
Kann einem vertrauenswürdigen OIDC-Provider eine Angreifer-Audience hinzufügen.
Kann iam:AddClientIDToOpenIDConnectProvider allein Privilegien eskalieren?
Ja. Auf einer ausreichend breiten Ressource gehalten, erreicht sie ohne weitere Berechtigung einen dauerhaften Wiedereinstieg.
Wie wird das Einschleusen einer Backdoor in die OIDC-Provider-Audience erkannt?
Achten Sie in CloudTrail auf AddClientIDToOpenIDConnectProvider. Der Aufruf ist im Vergleich zur normalen Aktivität leise, daher lässt er sich ohne eine entsprechende Regel leicht übersehen.
Wie unterbricht man diesen Pfad?
Eine Maßnahme, die ihn beseitigen würde, ist: Beschränken Sie iam:AddClientIDToOpenIDConnectProvider auf eine Break-Glass-Rolle; alarmieren Sie bei Änderungen an OIDC-Providern. Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrem Konto verwendet wird, es ist also eine geschäftliche Entscheidung und keine automatische Behebung.
Welche MITRE ATT&CK Technik ist das?
T1556, Modify Authentication Process, unter der Taktik Persistence.
Verwandte Pfade
Referenzen
Finden Sie dies in Ihrem eigenen Konto
Wir führen einen schreibgeschützten Scan eines AWS-Kontos durch und zeigen Ihnen, welche dieser Pfade existieren, nach Blast-Radius priorisiert, mit der Änderung, die jeden einzelnen unterbricht. Erste validierte Pfade innerhalb der Stunde.