Red-Shadow

Сканер уязвимостей AWS IAM от Lightspin

Описание

Сканируйте вашу конфигурацию AWS IAM на наличие теневых администраторов (shadow admins) в AWS IAM на основе неверно настроенных политик deny, не влияющих на пользователей в группах, обнаруженных исследовательской группой безопасности Lightspin.

Инструмент обнаруживает неверные конфигурации в следующих объектах IAM:

• Управляемые политики

• Встраиваемые политики пользователей

• Встраиваемые политики групп

• Встраиваемые политики ролей

Краткое описание исследования

Логика оценки AWS IAM для политик deny, применяемых к группам, работает не так, как привыкли большинство инженеров по безопасности в других механизмах авторизации.

Предположим, что политика с ресурсом группы содержит явный запрет (deny). В этом случае она повлияет только на действия с группой, а не на действия пользователей, что открывает организации для неверных конфигураций и уязвимостей, если они предполагают, что процесс такой же, как, например, в Active Directory.

Пример уязвимой политики JSON:

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "ProtectManagersByDeny",
            "Effect": "Deny",
            "Action": "*",
            "Resource": "arn:aws:iam::123456789999:group/managers"
        }
    ]
}

В этом примере политика должна запрещать любые действия IAM, выполняемые пользователями, группами или ролями, к которым эта политика прикреплена, в отношении группы с именем managers.

Дело в том, что простое действие IAM, такое как iam:ChangePassword, будет работать, поскольку политика deny неэффективна.

Ссылка на полный блог по исследованию безопасности

Обнаружение

AWS IAM имеет четкое разделение между действиями над объектами пользователей и действиями над объектами групп.

Следующий список включает действия над объектами пользователей, которые инструмент сканирует в политиках deny, затрагивающих группы (кроме wildcard):

AWS_USER_ACTIONS = ["iam:CreateUser",
                     "iam:GetUser",
                     "iam:UpdateUser",
                     "iam:DeleteUser",
                     "iam:GetUserPolicy",
                     "iam:PutUserPolicy",
                     "iam:DeleteUserPolicy",
                     "iam:ListUserPolicies",
                     "iam:AttachUserPolicy",
                     "iam:DetachUserPolicy",
                     "iam:ListAttachedUserPolicies",
                     "iam:SimulatePrincipalPolicy",
                     "iam:GetContextKeysForPrincipalPolicy",
                     "iam:TagUser",
                     "iam:UpdateSSHPublicKey",
                     "iam:UntagUser",
                     "iam:GetSSHPublicKey",
                     "iam:ListUserTags",
                     "iam:DeleteSSHPublicKey",
                     "iam:GetLoginProfile",
                     "iam:GetAccessKeyLastUsed",
                     "iam:UpdateLoginProfile",
                     "iam:UploadSigningCertificate",
                     "iam:DeleteLoginProfile",
                     "iam:ListSigningCertificates",
                     "iam:CreateLoginProfile",
                     "iam:UpdateSigningCertificate",
                     "iam:EnableMFADevice",
                     "iam:DeleteSigningCertificate",
                     "iam:ResyncMFADevice",
                     "iam:ListServiceSpecificCredentials",
                     "iam:ListMFADevices",
                     "iam:ResetServiceSpecificCredential",
                     "iam:DeactivateMFADevice",
                     "iam:CreateServiceSpecificCredential",
                     "iam:ChangePassword",
                     "iam:UpdateServiceSpecificCredential",
                     "iam:CreateAccessKey",
                     "iam:DeleteServiceSpecificCredential",
                     "iam:ListAccessKeys",
                     "iam:PutUserPermissionsBoundary",
                     "iam:UpdateAccessKey",
                     "iam:DeleteUserPermissionsBoundary",
                     "iam:DeleteAccessKey",
                     "iam:ListGroupsForUser",
                     "iam:ListSSHPublicKeys",
                     "iam:UploadSSHPublicKey"]

Многие из перечисленных выше действий над объектами пользователей могут легко привести к повышению привилегий или компрометации учетной записи, например, сброс пароля администратора, деактивация MFA корневой учетной записи и другое.

Требования

Red-Shadow построен на Python 3 и Boto3.

Инструмент требует:

• Пользователь IAM с ключом доступа в переменных окружения ОС
• Достаточные разрешения для пользователя IAM для запуска сканера
• Установленные Python 3 и pip3

Установка

sudo git clone https://github.com/lightspin-tech/red-shadow.git
cd red-shadow
pip3 install -r requirements.txt

Использование

python3 red-shadow.py

Анализ результатов

Результаты обнаруживают любые объекты IAM, уязвимые для такого обхода авторизации в AWS.

Пример вывода результатов:

++ Starting Red-Shadow ++

++ AWS IAM Vulnerability Scanner
++ Red Shadow scans for shadow admins in AWS IAM based on misconfigured deny policies not affecting users in groups

Step 1: Searching for IAM Group misconfigurations in managed policies
Found potential misconfiguration at arn:aws:iam::123456789999:policy/ProtectManagers
Progress: |██████████████████████████████████████████████████| 100.0% Complete
Step 2: Searching for IAM Group misconfigurations in Users inline policies
Progress: |██████████████████████████████████████████████████| 100.0% Complete
Step 3: Searching for IAM Group misconfigurations in Groups inline policies
Progress: |██████████████████████████████████████████████████| 100.0% Complete
Step 4: Searching for IAM Group misconfigurations in Roles inline policies
Progress: |██████████████████████████████████████████████████| 100.0% Complete
Done

В этом выводе консоли мы видим, что наша политика deny ProtectManagers неэффективна и уязвима для атак, таких как повышение привилегий, упомянутое выше.

Симуляция и эксплуатация

Чтобы проверить уязвимость IAM и выполнить эксплуатацию, вы можете выполнить следующий набор команд: