Hope: credenciales expuestas en buckets públicos

Resumen

Los buckets públicos están expuestos a todo el mundo. Aunque resultan útiles para sitios web o conjuntos de datos públicos, es poco probable que alguien deposite credenciales en ellos a propósito. En este caso escaneamos un gran número de buckets expuestos públicamente en proveedores como:

AWS S3
Azure Blob Storage
Google Cloud Platform Buckets

en busca de credenciales del tipo:

tokens de acceso de AWS
tokens OAuth
claves de API
cuentas de servicio de GCP

Medidas a tomar

Retirar del bucket las credenciales expuestas
Rotar las credenciales expuestas
Determinar si el resto del contenido del bucket debe ser público y restringir el acceso según corresponda
Analizar los registros para determinar si las credenciales expuestas se han usado indebidamente
Deshacer las acciones indebidas

En algunos tipos de credenciales, sobre todo los accesos a proveedores de nube, el riesgo de abuso es alto y puede derivar en movimiento lateral y escalada de privilegios. Amazon publica guías detalladas para estas situaciones: