S3 stocke des objets dans des buckets nommés globalement, et l'espace de noms global est la première faiblesse : un nom de bucket est devinable, se résout via DNS et vous indique son existence avant même que vous ne déteniez une identité. L'accès est décidé par trois contrôles qui se chevauchent (le paramètre Block Public Access du compte, la bucket policy, et les ACL d'objets et de buckets), et une mauvaise configuration de l'un d'eux expose des données ou accorde l'écriture.
Ce qui est regroupé ici#
- Énumération : trouver les buckets et objets par nommage, DNS et sondage des permissions.
- Accès public : buckets laissés en lecture ou en écriture ouverts à tous par des ACL ou par un Block Public Access désactivé.
- Bucket policy et ACL : policies et ACL trop larges accordant la lecture, l'écriture ou la prise de contrôle entre comptes.
Un bucket accessible en écriture qui sous-tend un site web ou une distribution logicielle se transforme en exécution de code en aval, et un nom de bucket libéré par une ressource supprimée est récupérable, ce qui est traité sous prise de contrôle de DNS pendant.