Une application App Service dotée d'une identité managée expose un endpoint de jeton local via IDENTITY_ENDPOINT et IDENTITY_HEADER, accessible uniquement depuis l'intérieur de l'application. L'exécution de code sur l'application, via Kudu ou un web shell déployé, forge le jeton de l'identité et poursuit en tant que ce principal auprès d'ARM, de Key Vault ou de Graph.
Forger le jeton#
# run inside the app (Kudu console or deployed handler)
curl -s "$IDENTITY_ENDPOINT?resource=https://management.azure.com/&api-version=2019-08-01" \
-H "X-IDENTITY-HEADER: $IDENTITY_HEADER"
# change resource to https://vault.azure.net or https://graph.microsoft.com to pivot
Notes d'exploitation#
- L'endpoint n'est pas l'IMDS de la VM (
169.254.169.254) ; App Service injecte son propre endpoint et son propre en-tête par application, de sorte que les deux variables d'environnement sont nécessaires. - Les attributions de rôle de l'identité déterminent le rayon d'impact ; énumérez-les et enchaînez vers l'identité.
- Une identité affectée par l'utilisateur liée à plusieurs applications transforme la compromission d'une seule application en une identité réutilisée ailleurs.
Outils#
- curl contre
IDENTITY_ENDPOINTdepuis le contexte de l'application. - MicroBurst (
Get-AzPasswords) : extrait les jetons d'identité App Service.