English
Español
Français
Deutsch
日本語
한국어
العربيةAutoconcesión de lectura de una tabla de DynamoDB
Puede adjuntar una política de recursos a una tabla que le concede acceso de lectura.
Concede escalada por sí solo.
dynamodb:PutResourcePolicyPor sí solo, dynamodb:PutResourcePolicy puede adjuntar a una tabla una política de recursos que se concede a sí mismo acceso de lectura. Con un alcance de recursos amplio, eso por sí solo llega a acceso para un principal externo o público.
Por qué es peligroso
Un principal puede llamar a dynamodb:PutResourcePolicy (una función de 2024) sobre la tabla para asociar una política basada en recursos que se concede a sí mismo GetItem/Query/Scan, y luego leer la tabla. El catálogo asumía antes que DynamoDB no tenía política de recursos; ahora sí la tiene.
En términos de MITRE ATT&CK, esto corresponde a T1098, Manipulación de cuentas, en la táctica de escalada de privilegios. AWS lo registra en CloudTrail como PutResourcePolicy. La llamada es silenciosa frente a la actividad normal, así que es fácil pasarla por alto sin una regla específica. Además, le da a un atacante una forma de conservar el acceso después de que se cierre el primer punto de apoyo, así que conviene vigilarla incluso cuando parece administración rutinaria.
Detección
PutResourcePolicyRequisitos previos
dynamodb:PutResourcePolicy sobre la tabla.
MITRE ATT&CK
T1098 · Manipulación de cuentasTáctica
Escalada de privilegios
Un control que lo eliminaría: Restringe dynamodb:PutResourcePolicy en la tabla. NOTA: esto invalida la suposición obsoleta de que "DynamoDB no tiene política de recursos" en el código de remediación actual.
Aplicarla o no depende de cómo se use el permiso en tu entorno, así que es una decisión de negocio y no una corrección automática. El mismo permiso puede ser imprescindible en una cuenta y puro riesgo en otra.
Pathbreak confirma si esta ruta se resuelve en tu cuenta, la clasifica frente a las demás según cuánto abre y usa tu modelo de amenazas y tu contexto de negocio para mostrar qué rutas merece la pena cortar.
Preguntas
¿Qué permite dynamodb:PutResourcePolicy?
Puede adjuntar una política de recursos a una tabla que le concede acceso de lectura.
¿Puede dynamodb:PutResourcePolicy escalar privilegios por sí solo?
Sí. Concedido sobre un recurso lo bastante amplio, llega a acceso para un principal externo o público sin ningún otro permiso.
¿Cómo se detecta la autoconcesión de lectura de una tabla de DynamoDB?
Vigila PutResourcePolicy en CloudTrail. La llamada es silenciosa frente a la actividad normal, así que es fácil pasarla por alto sin una regla específica.
¿Cómo se rompe esta ruta?
Un control que lo eliminaría es: Restringe dynamodb:PutResourcePolicy en la tabla. NOTA: esto invalida la suposición obsoleta de que 'DynamoDB no tiene política de recursos' en el código de remediación actual. Aplicarla o no depende de cómo se use el permiso en tu cuenta, así que es una decisión de negocio y no una corrección automática.
¿De qué técnica de MITRE ATT&CK se trata?
T1098, Manipulación de cuentas, en la táctica de escalada de privilegios.
Rutas relacionadas
Referencias
Encuéntralo en tu propia cuenta
Ejecutamos un escaneo de solo lectura de una cuenta de AWS y te mostramos cuáles de estas rutas existen, ordenadas por radio de impacto, con el cambio que rompe cada una. Primeras rutas validadas en menos de una hora.