Escalada de privilegios EC2 T1578.002

Pasar un rol a una flota de EC2

Puede lanzar una flota de EC2 con un perfil de instancia y acceder a sus credenciales de IMDS.

Concede escalada solo en combinación. Se necesitan todos estos a la vez:

iam:PassRoleec2:CreateFleet
Conclusión clave

iam:PassRole puede lanzar una flota de EC2 con un perfil de instancia y alcanzar sus credenciales de IMDS, pero solo cuando se combina con ec2:CreateFleet. Combinados, llegan a acceso de administrador.

CreateFleet iam:PassRole runs as role 01 Attacker principal 02 New EC2 03 Passed role 04 Administrator
Cómo se mueve un atacante a partir de este permiso.
Explóralo en Pathbreak

Por qué es peligroso

Un principal puede llamar a ec2:CreateFleet con una plantilla de lanzamiento que lleva el rol del perfil de instancia, lanzando instancias cuyo IMDS expone las credenciales del rol objetivo. Es la ejecución de código habitual mediante IMDS/user-data como el rol pasado.

En términos de MITRE ATT&CK, esto corresponde a T1578.002, Modificar la infraestructura de cómputo cloud: crear instancia cloud, bajo la táctica de escalada de privilegios. AWS lo registra en CloudTrail como CreateFleet. La llamada aparece en CloudTrail pero se confunde con la administración normal, así que necesita una regla para destacar.

Detección

CreateFleet

Requisitos previos

iam:PassRole para un rol que confía en ec2.amazonaws.com y una plantilla de lanzamiento con el perfil de instancia.

MITRE ATT&CK

T1578.002 · Modificar la infraestructura de cómputo cloud: crear instancia cloud

Táctica

Escalada de privilegios

Romper la ruta

Un control que lo eliminaría: Acota iam:PassRole para los roles que confían en ec2.amazonaws.com; restringe ec2:CreateFleet.

Aplicarla o no depende de cómo se use el permiso en tu entorno, así que es una decisión de negocio y no una corrección automática. El mismo permiso puede ser imprescindible en una cuenta y puro riesgo en otra.

Pathbreak confirma si esta ruta se resuelve en tu cuenta, la clasifica frente a las demás según cuánto abre y usa tu modelo de amenazas y tu contexto de negocio para mostrar qué rutas merece la pena cortar.

Preguntas

¿Qué permite iam:PassRole?

Puede lanzar una flota de EC2 con un perfil de instancia y acceder a sus credenciales de IMDS.

¿Qué más hace falta para que iam:PassRole sea peligroso?

Solo se convierte en escalada cuando se combina con ec2:CreateFleet. Por sí solo no basta, y eso es lo que hace que la combinación sea fácil de pasar por alto.

¿Cómo se detecta el pase de rol a una flota de EC2?

Vigila CreateFleet en CloudTrail. La llamada aparece en CloudTrail pero se confunde con la administración normal, así que necesita una regla para destacar.

¿Cómo se rompe esta ruta?

Un control que lo eliminaría es: Acota iam:PassRole para los roles que confían en ec2.amazonaws.com; restringe ec2:CreateFleet. Aplicarla o no depende de cómo se use el permiso en tu cuenta, así que es una decisión de negocio y no una corrección automática.

¿De qué técnica de MITRE ATT&CK se trata?

T1578.002, Modificar la infraestructura de cómputo cloud: crear instancia cloud, en la táctica de escalada de privilegios.

Rutas relacionadas

Mismo servicioSecuestrar los user-data de EC2ec2:ModifyInstanceAttributeMismo servicioPasar un rol a un grupo de nodos de EKSiam:PassRoleMismo servicioInyectar user-data en una plantilla de lanzamiento de EC2ec2:CreateLaunchTemplateVersionMismo servicioSecuestrar el rol de la instancia mediante Instance Connectec2-instance-connect:SendSSHPublicKeyMismo servicioPasar un rol a un grupo de Auto Scalingiam:PassRoleMismo servicioPasar un rol a EC2iam:PassRole

Referencias

Encuéntralo en tu propia cuenta

Ejecutamos un escaneo de solo lectura de una cuenta de AWS y te mostramos cuáles de estas rutas existen, ordenadas por radio de impacto, con el cambio que rompe cada una. Primeras rutas validadas en menos de una hora.

Solicitar un escaneo gratuito Mira el recorrido de 7 minutos