# AWS - Bedrock PrivEsc

{{#include ../../../../banners/hacktricks-training.md}}

## Amazon Bedrock AgentCore

### `bedrock-agentcore:StartCodeInterpreterSession` + `bedrock-agentcore:InvokeCodeInterpreter` - Code Interpreter Execution-Role Pivot

AgentCore Code Interpreter is 'n bestuurde uitvoeringsomgewing. **Custom Code Interpreters** kan gekonfigureer word met 'n **`executionRoleArn`** wat “toestemmings verskaf vir die code interpreter om toegang tot AWS services te kry”.

Indien 'n **lower-privileged IAM principal** 'n Code Interpreter-sessie kan **start + invoke** wat gekonfigureer is met 'n **more privileged execution role**, kan die oproeper effektief **pivot into the execution role’s permissions** (lateral movement / privilege escalation, afhangende van die rol se omvang).

> [!NOTE]
> Dit is gewoonlik 'n **misconfiguration / excessive permissions**-kwessie (om wye toegangsregte aan die interpreter execution role te verleen en/of breë invoke-toegang te gee).
> AWS waarsku uitdruklik om privilege escalation te vermy deur te verseker dat execution roles **equal or fewer** privileges het as die identiteite wat toegelaat word om te invoke.

#### Voorvereistes (algemene miskonfigurasie)

- 'n **custom code interpreter** bestaan met 'n oor-privilegieerde **execution role** (bv.: toegang tot sensitiewe S3/Secrets/SSM of IAM-admin-agtige bevoegdhede).
- 'n gebruiker (developer/auditor/CI identity) het permissies om:
  - start sessies: `bedrock-agentcore:StartCodeInterpreterSession`
  - invoke tools: `bedrock-agentcore:InvokeCodeInterpreter`
- (Opsioneel) Die gebruiker kan ook interpreters skep: `bedrock-agentcore:CreateCodeInterpreter` (stel hulle in staat om 'n nuwe interpreter te skep wat gekonfigureer is met 'n execution role, afhangende van org guardrails).

#### Recon (identify custom interpreters and execution role usage)

Lys interpreters (control-plane) en ondersoek hul konfigurasie:
```bash
aws bedrock-agentcore-control list-code-interpreters
aws bedrock-agentcore-control get-code-interpreter --code-interpreter-id <CODE_INTERPRETER_ID>
````
> Die create-code-interpreter command ondersteun `--execution-role-arn`, wat bepaal watter AWS-toestemmings die interpreter sal hê.

#### Stap 1 - Begin 'n sessie (dit gee `sessionId` terug, nie 'n interaktiewe shell nie)
```bash
SESSION_ID=$(
aws bedrock-agentcore start-code-interpreter-session \
--code-interpreter-identifier <CODE_INTERPRETER_IDENTIFIER> \
--name "arte-oussama" \
--query sessionId \
--output text
)

echo "SessionId: $SESSION_ID"
```
#### Stap 2 - Roep kode-uitvoering aan (Boto3 of signed HTTPS)

Daar is **geen interaktiewe python shell** vanaf `start-code-interpreter-session`. Uitvoering gebeur via **InvokeCodeInterpreter**.

**Opsie A - Boto3 voorbeeld (voer Python uit + verifieer identiteit):**
```python
import boto3

client = boto3.client("bedrock-agentcore", region_name="<REGION>")

# Execute python inside the Code Interpreter session
resp = client.invoke_code_interpreter(
codeInterpreterIdentifier="<CODE_INTERPRETER_IDENTIFIER>",
sessionId="<SESSION_ID>",
name="executeCode",
arguments={
"language": "python",
"code": "import boto3; print(boto3.client('sts').get_caller_identity())"
}
)

# Response is streamed; print events for visibility
for event in resp.get("stream", []):
print(event)
```
As die interpreter gekonfigureer is met 'n execution role, behoort die `sts:GetCallerIdentity()` uitset daardie rol se identiteit te weerspieël (nie die low-priv caller nie), wat die pivot aandui.

**Opsie B - Ondertekende HTTPS-oproep (awscurl):**
```bash
awscurl -X POST \
"https://bedrock-agentcore.<Region>.amazonaws.com/code-interpreters/<CODE_INTERPRETER_IDENTIFIER>/tools/invoke" \
-H "Content-Type: application/json" \
-H "Accept: application/json" \
-H "x-amzn-code-interpreter-session-id: <SESSION_ID>" \
--service bedrock-agentcore \
--region <Region> \
-d '{
"name": "executeCode",
"arguments": {
"language": "python",
"code": "print(\"Hello from AgentCore\")"
}
}'
```
#### Impak

* **Lateral movement** na watter AWS-toegang die interpreter execution role ook al het.
* **Privilege escalation** indien die interpreter execution role meer voorregte het as die caller.
* Moeilikere opsporing indien CloudTrail data events vir interpreter invocations nie geaktiveer is nie (invocations mag nie standaard gelog word nie, afhangend van die konfigurasie).

#### Versagtingsmaatreëls / Hardening

* **Least privilege** op die interpreter `executionRoleArn` (behandel dit soos Lambda execution roles / CI roles).
* **Restrict who can invoke** (`bedrock-agentcore:InvokeCodeInterpreter`) en wie sessies kan begin.
* Gebruik **SCPs** om InvokeCodeInterpreter te weier behalwe vir goedgekeurde agent runtime roles (org-level enforcement kan nodig wees).
* Skakel toepaslike **CloudTrail data events** vir AgentCore in waar van toepassing; waarsku op onverwagte invocations en sessie-creation.

## References

- [Sonrai: AWS AgentCore privilege escalation path (SCP mitigation)](https://sonraisecurity.com/blog/aws-agentcore-privilege-escalation-bedrock-scp-fix/)
- [Sonrai: Credential exfiltration paths in AWS code interpreters (MMDS)](https://sonraisecurity.com/blog/sandboxed-to-compromised-new-research-exposes-credential-exfiltration-paths-in-aws-code-interpreters/)
- [AWS CLI: create-code-interpreter (`--execution-role-arn`)](https://docs.aws.amazon.com/cli/latest/reference/bedrock-agentcore-control/create-code-interpreter.html)
- [AWS CLI: start-code-interpreter-session (returns `sessionId`)](https://docs.aws.amazon.com/cli/latest/reference/bedrock-agentcore/start-code-interpreter-session.html)
- [AWS Dev Guide: Code Interpreter API reference examples (Boto3 + awscurl invoke)](https://docs.aws.amazon.com/bedrock-agentcore/latest/devguide/code-interpreter-api-reference-examples.html)
- [AWS Dev Guide: Security credentials management (MMDS + privilege escalation warning)](https://docs.aws.amazon.com/bedrock-agentcore/latest/devguide/security-credentials-management.html)


{{#include ../../../../banners/hacktricks-training.md}}
