Translated ['src/pentesting-cloud/aws-security/aws-privilege-escalation/

2026-07-28 22:51:09 -07:00 · 2026-02-12 19:48:37 +00:00
parent 82660a0c08
commit 0fec75a7e6
1 changed files with 113 additions and 0 deletions
@@ -0,0 +1,113 @@
+# AWS - Bedrock PrivEsc
+
+{{#include ../../../../banners/hacktricks-training.md}}
+
+## Amazon Bedrock AgentCore
+
+### `bedrock-agentcore:StartCodeInterpreterSession` + `bedrock-agentcore:InvokeCodeInterpreter` - Code Interpreter Execution-Role Pivot
+
+AgentCore Code Interpreter es un entorno de ejecución gestionado. Los **Custom Code Interpreters** pueden configurarse con un **`executionRoleArn`** que “proporciona permisos para que el code interpreter acceda a los servicios de AWS”.
+
+Si un **principal IAM con menores privilegios** puede **start + invoke** una sesión de Code Interpreter configurada con un **rol de ejecución** más privilegiado, el llamador puede efectivamente **pivot into the execution role’s permissions** (lateral movement / privilege escalation dependiendo del alcance del rol).
+
+> [!NOTE]
+> Esto suele ser un problema de **configuración incorrecta / permisos excesivos** (otorgar permisos amplios al execution role del interpreter y/o dar acceso amplio de invoke).
+> AWS advierte explícitamente evitar la privilege escalation asegurando que los execution roles tengan **igual o menos** privilegios que las identidades autorizadas a invocar.
+
+#### Precondiciones (configuración incorrecta común)
+
+- Existe un **custom code interpreter** con un **execution role** sobre-privilegiado (ej: acceso a S3/Secrets/SSM sensibles o capacidades tipo IAM-admin).
+- Un usuario (developer/auditor/identidad CI) tiene permisos para:
+  - iniciar sesiones: `bedrock-agentcore:StartCodeInterpreterSession`
+  - invocar herramientas: `bedrock-agentcore:InvokeCodeInterpreter`
+- (Opcional) El usuario también puede crear interpreters: `bedrock-agentcore:CreateCodeInterpreter` (le permite crear un nuevo interpreter configurado con un execution role, según los controles/directrices de la organización).
+
+#### Recon (identify custom interpreters and execution role usage)
+
+Listar interpreters (control-plane) e inspeccionar su configuración:
+```bash
+aws bedrock-agentcore-control list-code-interpreters
+aws bedrock-agentcore-control get-code-interpreter --code-interpreter-id <CODE_INTERPRETER_ID>
+````
+> El comando create-code-interpreter admite `--execution-role-arn`, que define qué permisos de AWS tendrá el intérprete.
+
+#### Paso 1 - Iniciar una sesión (esto devuelve un `sessionId`, no una shell interactiva)
+```bash
+SESSION_ID=$(
+aws bedrock-agentcore start-code-interpreter-session \
+--code-interpreter-identifier <CODE_INTERPRETER_IDENTIFIER> \
+--name "arte-oussama" \
+--query sessionId \
+--output text
+)
+
+echo "SessionId: $SESSION_ID"
+```
+#### Paso 2 - Invocar ejecución de código (Boto3 o HTTPS firmado)
+
+No hay **shell interactivo de python** desde `start-code-interpreter-session`. La ejecución ocurre vía **InvokeCodeInterpreter**.
+
+**Opción A - Ejemplo Boto3 (ejecutar python + verificar identidad):**
+```python
+import boto3
+
+client = boto3.client("bedrock-agentcore", region_name="<REGION>")
+
+# Execute python inside the Code Interpreter session
+resp = client.invoke_code_interpreter(
+codeInterpreterIdentifier="<CODE_INTERPRETER_IDENTIFIER>",
+sessionId="<SESSION_ID>",
+name="executeCode",
+arguments={
+"language": "python",
+"code": "import boto3; print(boto3.client('sts').get_caller_identity())"
+}
+)
+
+# Response is streamed; print events for visibility
+for event in resp.get("stream", []):
+print(event)
+```
+Si el intérprete está configurado con un rol de ejecución, la salida de `sts:GetCallerIdentity()` debería reflejar la identidad de ese rol (no la de la entidad con bajos privilegios), demostrando el pivot.
+
+**Opción B - llamada HTTPS firmada (awscurl):**
+```bash
+awscurl -X POST \
+"https://bedrock-agentcore.<Region>.amazonaws.com/code-interpreters/<CODE_INTERPRETER_IDENTIFIER>/tools/invoke" \
+-H "Content-Type: application/json" \
+-H "Accept: application/json" \
+-H "x-amzn-code-interpreter-session-id: <SESSION_ID>" \
+--service bedrock-agentcore \
+--region <Region> \
+-d '{
+"name": "executeCode",
+"arguments": {
+"language": "python",
+"code": "print(\"Hello from AgentCore\")"
+}
+}'
+```
+#### Impacto
+
+* **Lateral movement** hacia cualquier acceso de AWS que tenga el interpreter execution role.
+* **Privilege escalation** si el interpreter execution role tiene más privilegios que el caller.
+* Detección más difícil si los CloudTrail data events para las invocaciones del interpreter no están habilitados (las invocaciones pueden no registrarse por defecto, según la configuración).
+
+#### Mitigaciones / Endurecimiento
+
+* **Least privilege** on the interpreter `executionRoleArn` (trátalo como los Lambda execution roles / CI roles).
+* **Restringir quién puede invocar** (`bedrock-agentcore:InvokeCodeInterpreter`) y quién puede iniciar sesiones.
+* Use **SCPs** para negar InvokeCodeInterpreter excepto para los agent runtime roles aprobados (la aplicación a nivel de organización puede ser necesaria).
+* Habilitar los apropiados **CloudTrail data events** para AgentCore cuando corresponda; alertar sobre invocaciones inesperadas y creación de sesiones.
+
+## Referencias
+
+- [Sonrai: AWS AgentCore privilege escalation path (SCP mitigation)](https://sonraisecurity.com/blog/aws-agentcore-privilege-escalation-bedrock-scp-fix/)
+- [Sonrai: Credential exfiltration paths in AWS code interpreters (MMDS)](https://sonraisecurity.com/blog/sandboxed-to-compromised-new-research-exposes-credential-exfiltration-paths-in-aws-code-interpreters/)
+- [AWS CLI: create-code-interpreter (`--execution-role-arn`)](https://docs.aws.amazon.com/cli/latest/reference/bedrock-agentcore-control/create-code-interpreter.html)
+- [AWS CLI: start-code-interpreter-session (returns `sessionId`)](https://docs.aws.amazon.com/cli/latest/reference/bedrock-agentcore/start-code-interpreter-session.html)
+- [AWS Dev Guide: Code Interpreter API reference examples (Boto3 + awscurl invoke)](https://docs.aws.amazon.com/bedrock-agentcore/latest/devguide/code-interpreter-api-reference-examples.html)
+- [AWS Dev Guide: Security credentials management (MMDS + privilege escalation warning)](https://docs.aws.amazon.com/bedrock-agentcore/latest/devguide/security-credentials-management.html)
+
+
+{{#include ../../../../banners/hacktricks-training.md}}