English
Español
Français
Deutsch
日本語
한국어
العربيةMapa de escalada de privilegios en AWS
El Mapa de ataque de Pathbreak para AWS
Curado por Pathbreak Research · Actualizado en octubre de 2026
El mapa público más completo de los permisos de AWS que un atacante puede encadenar hasta obtener administrador, acceso a datos o persistencia: cómo se usa cada uno, los eventos de CloudTrail que lo detectan, la técnica de MITRE ATT&CK y el único cambio que rompe la ruta. Cada ruta se comprueba contra la autorización real antes de que Pathbreak la reporte.
Empieza aquí
Combinaciones que conviene conocer
Muchos permisos de AWS solo llegan a administrador cuando se combinan con otros. Esas combinaciones son las que suele pasar por alto una revisión política por política. Aquí tienes algunas. El mapa completo se puede buscar más abajo.
Secuestrar los user-data de EC2
Un principal puede detener la instancia, reescribir sus datos de usuario con ec2:ModifyInstanceAttribute e iniciarla de nuevo; al arrancar, la instancia ejecuta el script de datos de usuario del atacante con el rol de su perfil de instancia ya adjunto, sin necesidad de iam:PassRole. Un perfil de instancia privilegiado supone ejecución de código arbitrario como ese rol: una escalada total de privilegios contra una máquina en la que ya se confiaba.
Secuestrar el rol de la pila de CloudFormation mediante un change set
Un principal puede llamar a cloudformation:CreateChangeSet y cloudformation:ExecuteChangeSet sobre una pila de CloudFormation existente que ya tiene el rol de servicio. Al preparar una plantilla modificada como conjunto de cambios y ejecutarlo, el principal hace que CloudFormation aplique los cambios del atacante usando el rol objetivo, sin necesidad de iam:PassRole, porque el rol objetivo ya está vinculado a la pila. Un rol de servicio con privilegios significa que la plantilla del atacante puede aprovisionar recursos de administrador: escalada total de privilegios contra una pila en la que ya se confiaba.
Secuestrar el rol de la instancia mediante un comando de SSM
Un principal puede llamar a ssm:SendCommand para ejecutar un documento AWS-RunShellScript en una instancia gestionada por SSM que ya tiene el rol del perfil de instancia, ejecutando comandos del atacante que leen las credenciales activas de la instancia desde IMDS y las envían al exterior, de forma no interactiva, sin sesión de shell, clave ni puerto abierto. Como la instancia ya está vinculada al rol, la ejecución de comandos en ella basta para robar el rol, sin necesidad de iam:PassRole. Si la instancia es privilegiada, se trata de una escalada total de privilegios contra una instancia en la que ya se confiaba, y es automatizable sobre muchas instancias a la vez.
Comprueba tu propia cuenta frente a estas rutas. pathbreak-audit es nuestra herramienta de línea de comandos de código abierto y gratuita para defensores: apúntala a una cuenta de AWS, en modo solo lectura, y te muestra los roles y usuarios de riesgo, y exactamente qué recortar.
pip install pathbreak-audit
Busca por permiso, servicio o técnica de MITRE. Varias palabras acotan los resultados.
Ningún permiso coincide con ese filtro.
Cargando el mapa...
Lo que muestran los datos
Patrones a lo largo de todas las rutas del mapa. Describen dónde se concentra la escalada de privilegios en AWS y dónde obtiene un defensor más cobertura con el menor cambio. Cada porcentaje es la proporción de entradas de este mapa que tienen esa propiedad, contada a partir del propio catálogo del mapa, así que las cifras describen las rutas documentadas y no dicen nada de ninguna cuenta de AWS concreta.
de las rutas de escalada de privilegios del mapa dependen de iam:PassRole. iam:PassRole es el permiso que más se reutiliza en el conjunto de datos. Aparece en rutas que llegan a 23 servicios de AWS, porque todo servicio que ejecuta cargas de trabajo por ti aceptará un rol que le entregues. Limitar iam:PassRole a ARN de rol concretos y fijar iam:PassedToService elimina la mayoría de ellas de una vez.
solo necesitan un único permiso para llegar al impacto. La mayoría de las rutas del mapa requieren solo una acción demasiado amplia. El resto depende de una combinación de dos o más permisos concedidos a la vez. Una revisión de mínimo privilegio de las acciones individuales resuelve la mayor parte.
de las correcciones de escalada de privilegios son un cambio de ámbito o de condición, no una eliminación. El cambio recomendado suele ser restringir un permiso (un ámbito de recurso, una condición iam:PassedToService o una barrera de la organización) en lugar de quitarlo, de modo que el equipo conserva la capacidad mientras la ruta se cierra.
de las rutas se pueden observar a partir de un único evento de CloudTrail. Cada entrada enumera los eventos del plano de gestión que registran la acción. La mayoría se corresponde con un solo evento, así que se pueden escribir reglas de detección por ruta sin una correlación pesada.
también sirven como mecanismo de persistencia. Una gran parte de estas acciones permite a un atacante conservar el acceso después de cerrar la entrada inicial (una credencial permanente, un cambio de MFA, una edición de confianza). Merece la pena generar alertas sobre ellas aunque parezcan administración rutinaria.
son movimientos de evasión de defensas contra tus propios registros y barreras de seguridad. Detener CloudTrail, desactivar GuardDuty o Security Hub, eliminar flow logs o desasociar una SCP aparece como una entrada propia. Son acciones de una sola llamada, así que una denegación sobre las herramientas de seguridad es el control más limpio.
¿Quién usa estas rutas? Los mismos movimientos aparecen en incidentes cloud reales. Consulta los grupos que hay detrás en el Actores de amenazas cloud reference.
Ve cuáles de estos existen en tu cuenta
Pathbreak se conecta con un rol de solo lectura, encuentra las rutas que se resuelven contra tu autorización real y clasifica los pocos cambios que más cortan. Una cuenta, un escaneo, primeras rutas validadas en menos de una hora.
Preguntas
¿Cuáles son los permisos de AWS IAM más peligrosos?
Los permisos que permiten a un principal cambiar quién puede hacer qué, o ejecutar código con un rol más privilegiado: iam:PutRolePolicy, iam:AttachRolePolicy, iam:CreatePolicyVersion, iam:UpdateAssumeRolePolicy e iam:PassRole combinado con un servicio de cómputo. Este mapa recoge todos los que sigue Pathbreak, y el cambio que rompe la ruta.
¿Por qué es peligroso iam:PassRole?
iam:PassRole permite a un principal entregar un rol de IAM a un servicio de AWS. Si se concede sobre un recurso comodín, un atacante pasa un rol con privilegios a un servicio que pueda ejecutar (EC2, Lambda, ECS y otros) y hereda ese rol. Limita iam:PassRole a ARN de rol concretos y fija iam:PassedToService.
¿Cómo evito la escalada de privilegios en AWS?
Acota iam:PassRole, mantén los límites de permisos en los roles, deniega las ediciones de políticas IAM y de políticas de confianza fuera de un rol de gestión de cambios y crea alertas sobre los eventos de CloudTrail que se listan aquí. Pathbreak valida qué rutas se resuelven en tu cuenta y prioriza los pocos cambios que más rutas cortan.
¿Cubre esto algo más que la escalada de privilegios?
Sí. También cubre el acceso a credenciales, la evasión de defensas, la exposición de recursos, el acceso a datos y la persistencia, porque las rutas de ataque reales atraviesan esas categorías de camino al impacto.
¿Qué es el Mapa de escalada de privilegios en AWS?
Es una referencia pública de los permisos de AWS que un atacante puede encadenar para obtener acceso de administrador, datos o persistencia. Cada uno tiene su propia página con cómo se utiliza, los eventos de CloudTrail que lo detectan, la técnica de MITRE ATT&CK y el control que eliminaría la ruta. Es la versión pública de lo que Pathbreak analiza dentro de una cuenta.
¿A quién va dirigido?
Ingenieros de seguridad cloud, ingenieros de detección, equipos rojos y cualquier persona que escriba políticas de IAM. Úsalo para entender qué abre un permiso antes de concederlo, para crear reglas de detección o para modelar las amenazas de una cuenta.
¿Cómo se usa?
Busca por permiso, por servicio o por una combinación de permisos. Abre cualquier entrada para ver la cadena de ataque, los eventos de detección sobre los que puedes crear alertas hoy, la técnica de MITRE y el cambio que rompería la ruta. Cada página es una referencia independiente que puedes enlazar.
¿En qué se diferencia un permiso individual de una combinación tóxica?
Algunos permisos conceden una escalada por sí solos. Muchos solo lo hacen cuando se combinan con otros, por ejemplo iam:PassRole con una acción de servicio. Esas combinaciones son las que suele pasar por alto una revisión política por política, así que el mapa etiqueta cada entrada y te permite filtrar solo las combinaciones.
¿Es esta la lista completa de permisos peligrosos de AWS?
Cubre las rutas que Pathbreak rastrea hoy y la mantenemos al día a medida que AWS lanza nuevos servicios. Si crees que falta algo o que hay algún error, escribe a hello@pathbreak.io y lo revisaremos.
¿Cómo usa Pathbreak esto en mi cuenta?
Pathbreak se conecta en modo solo lectura, resuelve tus políticas, roles y relaciones de confianza de IAM reales, y confirma cuáles de estas rutas existen realmente para tus identidades. Las clasifica según cuánto abre cada una y, con tu modelo de amenazas y tu contexto de negocio, muestra qué pocos cambios cortan más. Las primeras rutas validadas llegan en menos de una hora.
Los glifos de servicio se basan en el conjunto AWS Architecture Icons, recoloreados para identificar cada servicio. AWS y los nombres de los servicios son marcas comerciales de Amazon Web Services. Pathbreak no está afiliado a AWS ni cuenta con su respaldo.