権限昇格 EKS T1078.004 永続化

EKS Pod Identity にロールを渡す

新しい Pod Identity アソシエーションを介して、特権ロールを攻撃者の Pod にバインドできます。

組み合わせた場合にのみ権限昇格を付与します。これらすべてが同時に必要です。

eks:CreatePodIdentityAssociationiam:PassRole
要点

iam:PassRole は、新しい Pod Identity の関連付けを通じて、特権を持つロールを攻撃者のポッドにバインドできますが、eks:CreatePodIdentityAssociation と併せ持ったときにのみ可能です。併せ持つと管理者権限に到達します。

CreatePodIdentityAssociation iam:PassRole runs as role 01 Attacker principal 02 New EKS 03 Passed role 04 Administrator
攻撃者がこの権限からどう動くか。
Pathbreak で詳しく見る

なぜ危険なのか

プリンシパルは eks:CreatePodIdentityAssociation を呼び出して、特権的なロールを自分が制御するサービスアカウントにマッピングし、そのアカウントとして Pod を実行して、EKS Pod Identity エージェント経由でターゲットロールを引き受けられます。

MITRE ATT&CK では、これは権限昇格戦術の T1078.004 (有効なアカウント: クラウドアカウント) に対応します。AWS はこれを CloudTrail に CreatePodIdentityAssociation として記録します。この呼び出しは CloudTrail に記録されますが、通常の管理操作に紛れるため、目立たせるにはルールが必要です。また、最初の足がかりが塞がれた後もアクセスを維持する手段を攻撃者に与えるため、通常の管理操作に見える場合でも監視する価値があります。

検知

CreatePodIdentityAssociation

前提条件

pods.eks.amazonaws.com を信頼するロールに対する eks:CreatePodIdentityAssociation + iam:PassRole、およびクラスター上でのポッドスケジューリングの到達性。

MITRE ATT&CK

T1078.004 · 有効なアカウント: クラウドアカウント

戦術

権限昇格

経路を断ち切る

これを取り除くコントロール: pods.eks.amazonaws.com を信頼するロールに対する iam:PassRole のスコープを絞り、eks:CreatePodIdentityAssociation をクラスター管理者に限定します。

適用するかどうかは、その権限が環境内でどう使われているかによるため、自動的な修正ではなくビジネス上の判断となります。同じ権限でも、あるアカウントでは不可欠であり、別のアカウントでは純粋なリスクとなることがあります。

Pathbreak は、この経路がお客様のアカウントで成立するかどうかを確認し、どれだけ侵入口を広げるかで他の経路と比較して順位付けし、お客様の脅威モデルとビジネス上の背景を用いて、断ち切る価値のある経路を示します。

質問

iam:PassRole は何を可能にしますか。

新しい Pod Identity アソシエーションを介して、特権ロールを攻撃者の Pod にバインドできます。

iam:PassRole が危険になるには他に何が必要ですか。

eks:CreatePodIdentityAssociation と併せ持ったときにのみ権限昇格となります。単独では不十分であり、その点がこの組み合わせを見落としやすくしています。

EKS Pod Identity へのロールの受け渡しはどのように検知されますか。

CloudTrail で CreatePodIdentityAssociation を監視します。この呼び出しは CloudTrail に記録されますが、通常の管理操作に紛れるため、目立たせるにはルールが必要です。

この経路はどうやって断ち切りますか。

これを取り除くコントロールの一例は次のとおりです。pods.eks.amazonaws.com を信頼するロールに対する iam:PassRole のスコープを絞り、eks:CreatePodIdentityAssociation をクラスター管理者に限定します。適用するかどうかは、その権限がアカウント内でどう使われているかによるため、自動的な修正ではなくビジネス上の判断となります。

これはどの MITRE ATT&CK テクニックですか。

T1078.004、有効なアカウント: クラウドアカウント、権限昇格戦術に該当します。

関連する経路

同じサービスアクセスエントリを介して自分に EKS cluster-admin を付与するeks:CreateAccessEntry同じテクニックCognito アイデンティティプールにロールをバインドするiam:PassRole同じテクニックロールを引き受けるsts:AssumeRoleiam:PassRole も使用しますEC2 フリート にロールを渡すiam:PassRoleiam:PassRole も使用しますRoles Anywhere プロファイルを通じて認証情報を発行するiam:PassRoleiam:PassRole も使用しますSageMaker モデルエンドポイント にロールを渡すiam:PassRole

参考資料

これを自分のアカウントで見つける

1 つの AWS アカウントに対して読み取り専用のスキャンを実行し、これらの経路のうちどれが存在するかを、影響範囲の順に、それぞれを断ち切る変更とともにお見せします。最初の検証済み経路は 1 時間以内に得られます。

無料スキャンを申し込む 7 分間のウォークスルーを見る