English
Español
Français
Deutsch
日本語
한국어
العربيةLeer las credenciales JDBC de una conexión de Glue
Puede leer la contraseña JDBC o de base de datos almacenada en una conexión de Glue.
Concede escalada por sí solo.
glue:GetConnectionPor sí solo, glue:GetConnection puede leer la contraseña JDBC o de base de datos almacenada en una conexión de Glue. Con un alcance de recursos amplio, eso por sí solo llega a los propios datos.
Por qué es peligroso
Un principal puede llamar a glue:GetConnection sobre la conexión; las conexiones de Glue almacenan contraseñas JDBC/de base de datos, así que una sola lectura devuelve credenciales en texto plano de la base de datos subyacente.
En términos de MITRE ATT&CK, esto corresponde a T1555.006, Credenciales de almacenes de contraseñas: almacenes de gestión de secretos cloud, bajo la táctica de acceso a credenciales. AWS lo registra en CloudTrail como GetConnection. La llamada es silenciosa frente a la actividad normal, así que es fácil pasarla por alto sin una regla específica.
Detección
GetConnectionRequisitos previos
glue:GetConnection sobre la conexión; la conexión almacena credenciales en línea (no una referencia a Secrets Manager).
MITRE ATT&CK
T1555.006 · Credenciales de almacenes de contraseñas: almacenes de gestión de secretos cloudTáctica
Acceso a credenciales
Un control que lo eliminaría: Restringe glue:GetConnection / GetConnections; guarda las credenciales de la base de datos en Secrets Manager y haz que la conexión haga referencia a ellas en lugar de incluirlas en línea.
Aplicarla o no depende de cómo se use el permiso en tu entorno, así que es una decisión de negocio y no una corrección automática. El mismo permiso puede ser imprescindible en una cuenta y puro riesgo en otra.
Pathbreak confirma si esta ruta se resuelve en tu cuenta, la clasifica frente a las demás según cuánto abre y usa tu modelo de amenazas y tu contexto de negocio para mostrar qué rutas merece la pena cortar.
Preguntas
¿Qué permite glue:GetConnection?
Puede leer la contraseña JDBC o de base de datos almacenada en una conexión de Glue.
¿Puede glue:GetConnection escalar privilegios por sí solo?
Sí. Concedido sobre un recurso lo bastante amplio, llega a los propios datos sin ningún otro permiso.
¿Cómo se detecta la lectura de las credenciales JDBC de una conexión de Glue?
Vigila GetConnection en CloudTrail. La llamada es silenciosa frente a la actividad normal, así que es fácil pasarla por alto sin una regla específica.
¿Cómo se rompe esta ruta?
Un control que lo eliminaría es: Restringe glue:GetConnection / GetConnections; guarda las credenciales de BD en Secrets Manager y haz que la conexión las referencie en lugar de incluirlas en línea. Aplicarla o no depende de cómo se use el permiso en tu cuenta, así que es una decisión de negocio y no una corrección automática.
¿De qué técnica de MITRE ATT&CK se trata?
T1555.006, Credenciales de almacenes de contraseñas: almacenes de gestión de secretos cloud, en la táctica de acceso a credenciales.
Rutas relacionadas
Referencias
Encuéntralo en tu propia cuenta
Ejecutamos un escaneo de solo lectura de una cuenta de AWS y te mostramos cuáles de estas rutas existen, ordenadas por radio de impacto, con el cambio que rompe cada una. Primeras rutas validadas en menos de una hora.