2.1 KiB
AWS - SQS Privesc
{{#include ../../../../banners/hacktricks-training.md}}
SQS
Für weitere Informationen siehe:
{{#ref}} ../../aws-services/aws-sqs-and-sns-enum.md {{#endref}}
sqs:AddPermission
Ein Angreifer könnte diese Berechtigung nutzen, um unbefugten Benutzern oder Diensten Zugriff auf eine SQS-Queue zu gewähren, indem er neue Richtlinien erstellt oder vorhandene Richtlinien ändert. Dies könnte zu unbefugtem Zugriff auf die Nachrichten in der Queue oder zur Manipulation der Queue durch unbefugte Akteure führen.
aws sqs add-permission --queue-url <value> --actions <value> --aws-account-ids <value> --label <value>
Potentieller Einfluss: Unbefugter Zugriff auf die Warteschlange, Offenlegung von Nachrichten oder Manipulation der Warteschlange durch unautorisierte Benutzer oder Dienste.
sqs:SendMessage , sqs:SendMessageBatch
Ein Angreifer könnte bösartige oder unerwünschte Nachrichten an die SQS-Warteschlange senden, was möglicherweise zu Datenkorruption, dem Auslösen unbeabsichtigter Aktionen oder zur Erschöpfung von Ressourcen führt.
aws sqs send-message --queue-url <value> --message-body <value>
aws sqs send-message-batch --queue-url <value> --entries <value>
Mögliche Auswirkungen: Ausnutzung von Schwachstellen, Datenkorruption, unbeabsichtigte Aktionen oder Ressourcenerschöpfung.
sqs:ReceiveMessage, sqs:DeleteMessage, sqs:ChangeMessageVisibility
Ein Angreifer könnte Nachrichten in einer SQS-Warteschlange empfangen, löschen oder deren Sichtbarkeit ändern, was zu Nachrichtenverlust, Datenkorruption oder Dienstunterbrechungen für Anwendungen führt, die auf diese Nachrichten angewiesen sind.
aws sqs receive-message --queue-url <value>
aws sqs delete-message --queue-url <value> --receipt-handle <value>
aws sqs change-message-visibility --queue-url <value> --receipt-handle <value> --visibility-timeout <value>
Mögliche Auswirkungen: Diebstahl sensibler Informationen, Nachrichtenverlust, Datenkorruption und Dienstunterbrechungen für Anwendungen, die auf die betroffenen Nachrichten angewiesen sind.
{{#include ../../../../banners/hacktricks-training.md}}