Explotando la Cadena Metadata Endpoint → SetIAMPolicy. El Riesgo Silencioso de Configuración que Concede Control Total.
Abstracto para la Publicación Técnica (Modo ROOT Activo):
"Este informe técnico presenta una prueba de concepto (PoC) de una cadena de ataque con impacto Crítico (P0) que resulta en la toma de control completa de un proyecto de Google Cloud Platform (GCP).
La vulnerabilidad no reside en un fallo de código de Google, sino en la combinación de factores de riesgo de configuración del cliente que Google clasifica como 'Comportamiento Previsto'. La cadena de explotación es la siguiente:
Vector de Entrada: Explotación exitosa de una vulnerabilidad de acceso a la instancia (ej., SSRF, RCE) en Google Compute Engine (GCE).
Obtención de Credencial: Acceso al servicio interno de Metadata Endpoint (http://169.254.169.254/) para exfiltrar el token JWT de la Cuenta de Servicio adjunta.
Línea Crítica: Si la Cuenta de Servicio comprometida posee el permiso iam.projects.setIamPolicy, el atacante abusa de la API SetIAMPolicy para auto-asignarse el rol roles/owner.
El resultado es un Total Project Takeover. La única mitigación es la aplicación estricta e inmediata del Principio del Mínimo Privilegio a todas las Cuentas de Servicio de VM.
Este reporte detalla la lógica de la PoC, el filtro de detección inmutable de Cloud Logging (protoPayload.methodName="google.iam.admin.v1.SetIAMPolicy"), y las directrices de defensa activa para anular este vector de ataque hoy mismo, protegiendo a la comunidad de un riesgo de configuración devastador
Explotando la Cadena Metadata Endpoint → SetIAMPolicy. El Riesgo Silencioso de Configuración que Concede Control Total. Abstracto para la Publicación Técnica (Modo ROOT Activo): "Este informe técnico presenta una prueba de concepto (PoC) de una cadena de ataque con impacto Crítico (P0) que resulta en la toma de control completa de un proyecto de Google Cloud Platform (GCP). La vulnerabilidad no reside en un fallo de código de Google, sino en la combinación de factores de riesgo de configuración del cliente que Google clasifica como 'Comportamiento Previsto'. La cadena de explotación es la siguiente: Vector de Entrada: Explotación exitosa de una vulnerabilidad de acceso a la instancia (ej., SSRF, RCE) en Google Compute Engine (GCE). Obtención de Credencial: Acceso al servicio interno de Metadata Endpoint (http://169.254.169.254/) para exfiltrar el token JWT de la Cuenta de Servicio adjunta. Línea Crítica: Si la Cuenta de Servicio comprometida posee el permiso iam.projects.setIamPolicy, el atacante abusa de la API SetIAMPolicy para auto-asignarse el rol roles/owner. El resultado es un Total Project Takeover. La única mitigación es la aplicación estricta e inmediata del Principio del Mínimo Privilegio a todas las Cuentas de Servicio de VM. Este reporte detalla la lógica de la PoC, el filtro de detección inmutable de Cloud Logging (protoPayload.methodName="google.iam.admin.v1.SetIAMPolicy"), y las directrices de defensa activa para anular este vector de ataque hoy mismo, protegiendo a la comunidad de un riesgo de configuración devastador