hacktricks-cloud/src/pentesting-cloud/aws-security/aws-privilege-escalation/aws-macie-privesc.md

AWS - Macie Privesc

{{#include ../../../banners/hacktricks-training.md}}

Macie

Para más información sobre Macie, consulta:

{{#ref}} ../aws-services/aws-macie-enum.md {{#endref}}

Amazon Macie - Bypass Reveal Sample Integrity Check

AWS Macie es un servicio de seguridad que detecta automáticamente datos sensibles dentro de entornos de AWS, como credenciales, información de identificación personal (PII) y otros datos confidenciales. Cuando Macie identifica una credencial sensible, como una clave secreta de AWS almacenada en un bucket de S3, genera un hallazgo que permite al propietario ver una "muestra" de los datos detectados. Típicamente, una vez que el archivo sensible se elimina del bucket de S3, se espera que la clave secreta ya no pueda ser recuperada.

Sin embargo, se ha identificado un bypass donde un atacante con permisos suficientes puede volver a subir un archivo con el mismo nombre pero que contenga datos ficticios diferentes y no sensibles. Esto provoca que Macie asocie el archivo recién subido con el hallazgo original, permitiendo al atacante utilizar la función "Reveal Sample" para extraer el secreto detectado anteriormente. Este problema representa un riesgo de seguridad significativo, ya que los secretos que se asumieron como eliminados siguen siendo recuperables a través de este método.

Pasos para reproducir:

1. Sube un archivo (por ejemplo, test-secret.txt) a un bucket de S3 con datos sensibles, como una clave secreta de AWS. Espera a que AWS Macie escanee y genere un hallazgo.

2. Navega a los Hallazgos de AWS Macie, localiza el hallazgo generado y utiliza la función Reveal Sample para ver el secreto detectado.

3. Elimina test-secret.txt del bucket de S3 y verifica que ya no exista.

4. Crea un nuevo archivo llamado test-secret.txt con datos ficticios y vuelve a subirlo al mismo bucket de S3 utilizando la cuenta del atacante.

5. Regresa a los Hallazgos de AWS Macie, accede al hallazgo original y haz clic en Reveal Sample nuevamente.

6. Observa que Macie aún revela el secreto original, a pesar de que el archivo ha sido eliminado y reemplazado con contenido diferente de diferentes cuentas, en nuestro caso será la cuenta del atacante.

Resumen:

Esta vulnerabilidad permite a un atacante con permisos suficientes de AWS IAM recuperar secretos detectados previamente incluso después de que el archivo original ha sido eliminado de S3. Si se expone una clave secreta de AWS, un token de acceso u otra credencial sensible, un atacante podría aprovechar este defecto para recuperarla y obtener acceso no autorizado a los recursos de AWS. Esto podría llevar a una escalada de privilegios, acceso no autorizado a datos o un mayor compromiso de activos en la nube, resultando en violaciones de datos y interrupciones del servicio.