From 48f333f7a9a13dd5eb670fba1fb1588070572710 Mon Sep 17 00:00:00 2001 From: Translator Date: Thu, 12 Feb 2026 19:42:46 +0000 Subject: [PATCH] Translated ['src/pentesting-cloud/aws-security/aws-privilege-escalation/ --- .../aws-bedrock-privesc/README.md | 113 ++++++++++++++++++ 1 file changed, 113 insertions(+) create mode 100644 src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-bedrock-privesc/README.md diff --git a/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-bedrock-privesc/README.md b/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-bedrock-privesc/README.md new file mode 100644 index 000000000..3bf837d33 --- /dev/null +++ b/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-bedrock-privesc/README.md @@ -0,0 +1,113 @@ +# AWS - Bedrock PrivEsc + +{{#include ../../../../banners/hacktricks-training.md}} + +## Amazon Bedrock AgentCore + +### `bedrock-agentcore:StartCodeInterpreterSession` + `bedrock-agentcore:InvokeCodeInterpreter` - Code Interpreter Execution-Role Pivot + +AgentCore Code Interpreter é um ambiente de execução gerenciado. **Custom Code Interpreters** podem ser configurados com um **`executionRoleArn`** que “fornece permissões para o code interpreter acessar serviços AWS”. + +Se um **principal IAM com menos privilégios** puder **start + invoke** uma sessão do Code Interpreter que esteja configurada com uma **função de execução mais privilegiada**, o chamador pode efetivamente **pivot** para as permissões da função de execução (lateral movement / privilege escalation dependendo do escopo da função). + +> [!NOTE] +> Isto normalmente é um problema de **misconfiguration / excessive permissions** (conceder permissões amplas à função de execução do interpreter e/ou conceder acesso amplo de invoke). +> A AWS alerta explicitamente para evitar privilege escalation garantindo que as funções de execução tenham **igual ou menos** privilégios do que as identidades permitidas a invocar. + +#### Preconditions (common misconfiguration) + +- Um **custom code interpreter** existe com uma **função de execução** excessivamente privilegiada (ex: acesso a S3/Secrets/SSM sensíveis ou capacidades semelhantes a administrador IAM). +- Um usuário (desenvolvedor/auditor/identidade CI) tem permissões para: +- start sessions: `bedrock-agentcore:StartCodeInterpreterSession` +- invoke tools: `bedrock-agentcore:InvokeCodeInterpreter` +- (Opcional) O usuário também pode criar interpreters: `bedrock-agentcore:CreateCodeInterpreter` (permite criar um novo interpreter configurado com uma função de execução, dependendo dos guardrails da organização). + +#### Recon (identify custom interpreters and execution role usage) + +Liste interpreters (control-plane) e inspecione sua configuração: +```bash +aws bedrock-agentcore-control list-code-interpreters +aws bedrock-agentcore-control get-code-interpreter --code-interpreter-id +```` +> O comando create-code-interpreter suporta `--execution-role-arn` que define quais permissões AWS o interpreter terá. + +#### Passo 1 - Iniciar uma sessão (isso retorna um `sessionId`, não um shell interativo) +```bash +SESSION_ID=$( +aws bedrock-agentcore start-code-interpreter-session \ +--code-interpreter-identifier \ +--name "arte-oussama" \ +--query sessionId \ +--output text +) + +echo "SessionId: $SESSION_ID" +``` +#### Passo 2 - Invocar execução de código (Boto3 ou signed HTTPS) + +Não há **shell Python interativo** a partir de `start-code-interpreter-session`. A execução acontece via **InvokeCodeInterpreter**. + +**Opção A - exemplo Boto3 (executar Python + verificar identidade):** +```python +import boto3 + +client = boto3.client("bedrock-agentcore", region_name="") + +# Execute python inside the Code Interpreter session +resp = client.invoke_code_interpreter( +codeInterpreterIdentifier="", +sessionId="", +name="executeCode", +arguments={ +"language": "python", +"code": "import boto3; print(boto3.client('sts').get_caller_identity())" +} +) + +# Response is streamed; print events for visibility +for event in resp.get("stream", []): +print(event) +``` +Se o interpretador estiver configurado com um execution role, a saída de `sts:GetCallerIdentity()` deve refletir a identidade dessa role (não o low-priv caller), demonstrando o pivot. + +**Opção B - chamada HTTPS assinada (awscurl):** +```bash +awscurl -X POST \ +"https://bedrock-agentcore..amazonaws.com/code-interpreters//tools/invoke" \ +-H "Content-Type: application/json" \ +-H "Accept: application/json" \ +-H "x-amzn-code-interpreter-session-id: " \ +--service bedrock-agentcore \ +--region \ +-d '{ +"name": "executeCode", +"arguments": { +"language": "python", +"code": "print(\"Hello from AgentCore\")" +} +}' +``` +#### Impacto + +* **Lateral movement** para qualquer acesso AWS que a função de execução do interpreter possua. +* **Privilege escalation** se a função de execução do interpreter for mais privilegiada que o chamador. +* Detecção mais difícil se os CloudTrail data events para invocações do interpreter não estiverem habilitados (as invocações podem não ser registradas por padrão, dependendo da configuração). + +#### Mitigações / Endurecimento + +* **Privilégio mínimo** na `executionRoleArn` do interpreter (trate-a como funções de execução do Lambda / funções de CI). +* **Restrinja quem pode invocar** (`bedrock-agentcore:InvokeCodeInterpreter`) e quem pode iniciar sessões. +* Use **SCPs** para negar InvokeCodeInterpreter, exceto para funções de runtime do agent aprovadas (pode ser necessária aplicação em nível de organização). +* Habilite os **CloudTrail data events** apropriados para AgentCore quando aplicável; alerte sobre invocações inesperadas e criação de sessões. + +## Referências + +- [Sonrai: AWS AgentCore privilege escalation path (SCP mitigation)](https://sonraisecurity.com/blog/aws-agentcore-privilege-escalation-bedrock-scp-fix/) +- [Sonrai: Credential exfiltration paths in AWS code interpreters (MMDS)](https://sonraisecurity.com/blog/sandboxed-to-compromised-new-research-exposes-credential-exfiltration-paths-in-aws-code-interpreters/) +- [AWS CLI: create-code-interpreter (`--execution-role-arn`)](https://docs.aws.amazon.com/cli/latest/reference/bedrock-agentcore-control/create-code-interpreter.html) +- [AWS CLI: start-code-interpreter-session (returns `sessionId`)](https://docs.aws.amazon.com/cli/latest/reference/bedrock-agentcore/start-code-interpreter-session.html) +- [AWS Dev Guide: Code Interpreter API reference examples (Boto3 + awscurl invoke)](https://docs.aws.amazon.com/bedrock-agentcore/latest/devguide/code-interpreter-api-reference-examples.html) +- [AWS Dev Guide: Security credentials management (MMDS + privilege escalation warning)](https://docs.aws.amazon.com/bedrock-agentcore/latest/devguide/security-credentials-management.html) + + +{{#include ../../../../banners/hacktricks-training.md}}