Translated ['src/pentesting-cloud/aws-security/aws-post-exploitation/aws

src/pentesting-cloud/aws-security/aws-post-exploitation/aws-mwaa-post-exploitation/README.md

@@ -0,0 +1,44 @@
+# Vulnerabilidad de comodín en la cuenta del execution role de AWS MWAA
+
+## La vulnerabilidad
+
+El rol de ejecución de MWAA (el rol IAM que los workers de Airflow usan para acceder a recursos de AWS) requiere esta política obligatoria para funcionar:
+```json
+{
+"Effect": "Allow",
+"Action": [
+"sqs:ChangeMessageVisibility",
+"sqs:DeleteMessage",
+"sqs:GetQueueAttributes",
+"sqs:GetQueueUrl",
+"sqs:ReceiveMessage",
+"sqs:SendMessage"
+],
+"Resource": "arn:aws:sqs:us-east-1:*:airflow-celery-*"
+}
+```
+El comodín (`*`) en la posición del account ID permite que el rol interactúe con **any SQS queue in any AWS account** que empiece con `airflow-celery-`. Esto es necesario porque AWS provisiona las colas internas de MWAA en una cuenta gestionada por AWS separada. No existe restricción para crear colas con el prefijo `airflow-celery-`.
+
+**Cannot be fixed:** Quitar el comodín antes del despliegue rompe MWAA por completo: el scheduler no puede encolar tareas para los workers.
+
+Documentation Verifying Vuln and Acknowledging Vectorr: [AWS Documentation](https://docs.aws.amazon.com/mwaa/latest/userguide/mwaa-create-role.html)
+
+## Explotación
+
+Todos los DAGs de Airflow se ejecutan con los permisos del execution role. Los DAGs son scripts Python que pueden ejecutar código arbitrario: pueden usar `yum` o `curl` para instalar herramientas, descargar scripts maliciosos o importar cualquier librería de Python. Los DAGs se extraen de una carpeta asignada en S3 y se ejecutan automáticamente según el schedule; todo lo que un atacante necesita es la capacidad de hacer PUT en ese path del bucket.
+
+Cualquier persona que pueda escribir DAGs (típicamente la mayoría de usuarios en entornos MWAA) puede abusar de este permiso:
+
+1. **Data Exfiltration**: Crear una queue llamada `airflow-celery-exfil` en una cuenta externa, escribir un DAG que envíe datos sensibles hacia ella usando `boto3`
+
+2. **Command & Control**: Consultar comandos desde una queue externa, ejecutarlos y devolver resultados — creando una puerta trasera persistente mediante las APIs de SQS
+
+3. **Cross-Account Attacks**: Inyectar mensajes maliciosos en las colas de otras organizaciones si siguen el patrón de nombres
+
+Todos los ataques evaden los controles de red ya que usan las APIs de AWS, no conexiones directas a internet.
+
+## Impacto
+
+Esto es una falla arquitectural en MWAA sin mitigación basada en IAM. Cada despliegue de MWAA que siga la documentación de AWS tiene esta vulnerabilidad.
+
+**Network Control Bypass:** Estos ataques funcionan incluso en VPCs privadas sin acceso a internet. Las llamadas a la API de SQS usan la red interna de AWS y endpoints de VPC, evadiendo por completo los controles tradicionales de seguridad de red, firewalls y el monitoreo de egress. Las organizaciones no pueden detectar ni bloquear esta vía de exfiltración de datos a nivel de red.