Translated ['src/pentesting-cloud/aws-security/aws-post-exploitation/aws

src/pentesting-cloud/aws-security/aws-post-exploitation/aws-mwaa-post-exploitation/README.md

@@ -0,0 +1,44 @@
+# AWS MWAA Vulnérabilité wildcard du compte du rôle d'exécution
+
+## La vulnérabilité
+
+Le rôle d'exécution de MWAA (le IAM role que les Airflow workers utilisent pour accéder aux ressources AWS) requiert la policy obligatoire suivante pour fonctionner :
+```json
+{
+"Effect": "Allow",
+"Action": [
+"sqs:ChangeMessageVisibility",
+"sqs:DeleteMessage",
+"sqs:GetQueueAttributes",
+"sqs:GetQueueUrl",
+"sqs:ReceiveMessage",
+"sqs:SendMessage"
+],
+"Resource": "arn:aws:sqs:us-east-1:*:airflow-celery-*"
+}
+```
+Le wildcard (`*`) dans la position de l'ID de compte permet au rôle d'interagir avec **any SQS queue in any AWS account** qui commence par `airflow-celery-`. Ceci est requis car AWS provisionne les queues internes de MWAA dans un compte géré séparé par AWS. Il n'y a aucune restriction pour créer des queues avec le préfixe `airflow-celery-`.
+
+**Ne peut pas être corrigé :** Supprimer le wildcard avant le déploiement casse complètement MWAA — le scheduler ne peut pas mettre les tâches en file pour les workers.
+
+Documentation vérifiant la vulnérabilité et reconnaissant le vecteur : [AWS Documentation](https://docs.aws.amazon.com/mwaa/latest/userguide/mwaa-create-role.html)
+
+## Exploitation
+
+Tous les DAGs Airflow s'exécutent avec les permissions du rôle d'exécution. Les DAGs sont des scripts Python capables d'exécuter du code arbitraire — ils peuvent utiliser `yum` ou `curl` pour installer des outils, télécharger des scripts malveillants, ou importer n'importe quelle bibliothèque Python. Les DAGs sont récupérés depuis un dossier S3 assigné et s'exécutent automatiquement selon un planning ; tout ce dont un attaquant a besoin est la capacité de PUT vers ce chemin de bucket.
+
+Quiconque peut écrire des DAGs (typiquement la plupart des utilisateurs dans des environnements MWAA) peut abuser de cette permission :
+
+1. **Data Exfiltration**: Create a queue named `airflow-celery-exfil` in an external account, write a DAG that sends sensitive data to it via `boto3`
+
+2. **Command & Control**: Poll commands from an external queue, execute them, return results - creating a persistent backdoor through SQS APIs
+
+3. **Cross-Account Attacks**: Inject malicious messages into other organizations' queues if they follow the naming pattern
+
+Toutes les attaques contournent les contrôles réseau car elles utilisent les AWS APIs, pas des connexions internet directes.
+
+## Impact
+
+Il s'agit d'une faille architecturale dans MWAA sans mitigation basée sur IAM. Chaque déploiement MWAA suivant la documentation AWS présente cette vulnérabilité.
+
+**Network Control Bypass:** These attacks work even in private VPCs with no internet access. The SQS API calls use AWS's internal network and VPC endpoints, completely bypassing traditional network security controls, firewalls, and egress monitoring. Organizations cannot detect or block this data exfiltration path through network-level controls.