Persistence IAM T1556 Persistence

Einen OIDC-Provider übernehmen, um vertrauende Rollen anzunehmen

Kann den OIDC-Provider, dem eine Rolle vertraut, umlenken und so föderierte Logins als diese fälschen.

Ermöglicht Eskalation für sich allein.

iam:UpdateOpenIDConnectProviderThumbprint

Wichtigste Erkenntnis

Für sich allein kann iam:UpdateOpenIDConnectProviderThumbprint den OIDC-Provider, dem eine Rolle vertraut, neu ausrichten und föderierte Anmeldungen als diese fälschen. Bei einem weiten Ressourcenbereich erreicht dies allein einen dauerhaften Wiedereinstieg.

Wie ein Angreifer von dieser Berechtigung aus vorgeht.

In Pathbreak erkunden

Warum es gefährlich ist

Ein Principal kann iam:UpdateOpenIDConnectProviderThumbprint aufrufen, um den vertrauenswürdigen Thumbprint des OIDC-Providers zu ändern (oder eine Client-ID hinzuzufügen) und so Tokens von einem vom Angreifer kontrollierten IdP gültig zu machen. Anschließend ruft er sts:AssumeRoleWithWebIdentity auf, um die Zielrolle direkt zu übernehmen, autorisiert durch die Vertrauensrichtlinie der Zielrolle, nicht durch irgendeine Identitätsberechtigung. Ist die Zielrolle privilegiert, ist dies eine vollständige Föderationsübernahme.

In MITRE ATT&CK entspricht dies T1556, Modify Authentication Process, unter der Taktik Persistence. AWS protokolliert dies in CloudTrail als UpdateOpenIDConnectProviderThumbprint, AddClientIDToOpenIDConnectProvider. Der Aufruf erscheint in CloudTrail, geht aber in der normalen Administration unter, daher braucht es eine Regel, damit er auffällt. Er gibt einem Angreifer außerdem eine Möglichkeit, den Zugriff zu behalten, nachdem der erste Zugang geschlossen wurde, daher lohnt es sich, ihn zu beobachten, auch wenn er wie routinemäßige Administration aussieht.

Erkennung

UpdateOpenIDConnectProviderThumbprintAddClientIDToOpenIDConnectProvider

Voraussetzungen

iam:UpdateOpenIDConnectProviderThumbprint für einen OIDC-Provider, dem mindestens eine Rolle vertraut (gleiches Konto). Für das anschließende AssumeRoleWithWebIdentity ist keine Identitätsberechtigung nötig, das Vertrauen der Rolle autorisiert es.

MITRE ATT&CK

T1556 · Modify Authentication Process

Taktik

Persistence

Den Pfad unterbrechen

Eine Maßnahme, die ihn beseitigen würde: iam:UpdateOpenIDConnectProviderThumbprint / iam:AddClientIDToOpenIDConnectProvider auf Break-Glass-Admins beschränken; darauf alarmieren (CloudTrail); das Rollenvertrauen an bestimmte sub-/aud-Claims binden.

Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrer Umgebung verwendet wird, daher ist es eine geschäftliche Entscheidung und keine automatische Behebung. Dieselbe Berechtigung kann in einem Konto tragend und in einem anderen reines Risiko sein.

Pathbreak bestätigt, ob dieser Pfad in Ihrem Konto auflösbar ist, stuft ihn gegenüber den anderen danach ein, wie viel er eröffnet, und nutzt Ihr Bedrohungsmodell und Ihren Geschäftskontext, um zu zeigen, welche Pfade es wert sind, unterbrochen zu werden.

Fragen

Was erlaubt iam:UpdateOpenIDConnectProviderThumbprint?

Kann den OIDC-Provider, dem eine Rolle vertraut, umlenken und so föderierte Logins als diese fälschen.

Kann iam:UpdateOpenIDConnectProviderThumbprint allein Privilegien eskalieren?

Ja. Auf einer ausreichend breiten Ressource gehalten, erreicht sie ohne weitere Berechtigung einen dauerhaften Wiedereinstieg.

Wie wird das Übernehmen eines OIDC-Providers, um vertrauende Rollen anzunehmen erkannt?

Achten Sie in CloudTrail auf UpdateOpenIDConnectProviderThumbprint, AddClientIDToOpenIDConnectProvider. Der Aufruf erscheint in CloudTrail, geht aber in der normalen Administration unter, daher braucht es eine Regel, damit er auffällt.

Wie unterbricht man diesen Pfad?

Eine Maßnahme, die ihn beseitigen würde, ist: Beschränken Sie iam:UpdateOpenIDConnectProviderThumbprint / iam:AddClientIDToOpenIDConnectProvider auf Break-Glass-Administratoren; alarmieren Sie bei diesen (CloudTrail); binden Sie das Rollenvertrauen an bestimmte sub-/aud-Claims. Ob sie angewendet werden sollte, hängt davon ab, wie die Berechtigung in Ihrem Konto verwendet wird, es ist also eine geschäftliche Entscheidung und keine automatische Behebung.

Welche MITRE ATT&CK Technik ist das?

T1556, Modify Authentication Process, unter der Taktik Persistence.

Referenzen

Finden Sie dies in Ihrem eigenen Konto

Wir führen einen schreibgeschützten Scan eines AWS-Kontos durch und zeigen Ihnen, welche dieser Pfade existieren, nach Blast-Radius priorisiert, mit der Änderung, die jeden einzelnen unterbricht. Erste validierte Pfade innerhalb der Stunde.

Kostenlosen Scan anfragen Sehen Sie sich das 7-minütige Walkthrough an