CircleCI Security
Last updated
Last updated
Lerne & übe AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Lerne & übe GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
CircleCI ist eine Continuous Integration-Plattform, auf der du Vorlagen definieren kannst, die angeben, was du mit einem Code tun möchtest und wann. So kannst du Tests oder Deployments direkt aus deinem Repo-Master-Branch automatisieren.
CircleCI erbt die Berechtigungen von GitHub und Bitbucket, die mit dem Konto verbunden sind, das sich anmeldet. In meinen Tests habe ich überprüft, dass du, solange du Schreibberechtigungen für das Repo in GitHub hast, in der Lage bist, die Projekteinstellungen in CircleCI zu verwalten (neue SSH-Schlüssel festlegen, Projekt-API-Schlüssel abrufen, neue Branches mit neuen CircleCI-Konfigurationen erstellen...).
Du musst jedoch ein Repo-Administrator sein, um das Repo in ein CircleCI-Projekt umzuwandeln.
Laut den Dokumenten gibt es verschiedene Möglichkeiten, Werte in Umgebungsvariablen innerhalb eines Workflows zu laden.
Jeder von CircleCI ausgeführte Container hat immer spezifische Umgebungsvariablen, die in der Dokumentation definiert sind wie CIRCLE_PR_USERNAME, CIRCLE_PROJECT_REPONAME oder CIRCLE_USERNAME.
Du kannst sie im Klartext innerhalb eines Befehls deklarieren:
Sie können sie im Klartext innerhalb der Ausführungsumgebung deklarieren:
Sie können sie im Klartext innerhalb der build-job environment deklarieren:
Sie können sie im Klartext innerhalb der Umgebung eines Containers deklarieren:
Dies sind Geheimnisse, die nur vom Projekt (von jedem Branch) zugänglich sind. Sie können sie deklariert in https://app.circleci.com/settings/project/github/<org_name>/<repo_name>/environment-variables sehen.
Die Funktionalität "Variablen importieren" ermöglicht es, Variablen aus anderen Projekten in dieses zu importieren.
Dies sind Geheimnisse, die organisationsweit sind. Standardmäßig kann jedes Repo auf jedes Geheimnis zugreifen, das hier gespeichert ist:
Beachten Sie jedoch, dass eine andere Gruppe (anstatt aller Mitglieder) ausgewählt werden kann, um den Zugriff auf die Geheimnisse nur bestimmten Personen zu gewähren. Dies ist derzeit eine der besten Möglichkeiten, um die Sicherheit der Geheimnisse zu erhöhen, indem nicht jeder darauf zugreifen kann, sondern nur einige Personen.
Wenn Sie Zugriff auf das VCS (wie GitHub) haben, überprüfen Sie die Datei .circleci/config.yml von jedem Repo in jedem Branch und suchen Sie nach potenziellen Klartextgeheimnissen, die dort gespeichert sind.
Durch Überprüfung des Codes können Sie alle Geheimnisnamen finden, die in jeder .circleci/config.yml-Datei verwendet werden. Sie können auch die Kontextnamen aus diesen Dateien abrufen oder sie in der Webkonsole überprüfen: https://app.circleci.com/settings/organization/github/<org_name>/contexts.
Um ALLE Projekt- und Kontext-GEHEIMNISSE zu exfiltrieren, müssen Sie nur SCHREIBZUGRIFF auf nur 1 Repo in der gesamten GitHub-Organisation haben (und Ihr Konto muss Zugriff auf die Kontexte haben, aber standardmäßig kann jeder auf jeden Kontext zugreifen).
Die Funktionalität "Variablen importieren" ermöglicht es, Variablen aus anderen Projekten in dieses zu importieren. Daher könnte ein Angreifer alle Projektvariablen aus allen Repos importieren und dann alle zusammen exfiltrieren.
Alle Projektgeheimnisse werden immer in der Umgebung der Jobs festgelegt, sodass das einfache Aufrufen von env und das Obfuskieren in base64 die Geheimnisse in der Webprotokollkonsole der Workflows exfiltriert:
Wenn Sie keinen Zugriff auf die Webkonsole haben, aber Zugriff auf das Repository haben und wissen, dass CircleCI verwendet wird, können Sie einfach einen Workflow erstellen, der jede Minute ausgelöst wird und der die Geheimnisse an eine externe Adresse exfiltriert:
Du musst den Kontextnamen angeben (dies wird auch die Projektgeheimnisse exfiltrieren):
Wenn Sie keinen Zugriff auf die Webkonsole haben, aber Zugriff auf das Repository haben und wissen, dass CircleCI verwendet wird, können Sie einfach einen Workflow ändern, der jede Minute ausgelöst wird und der die Geheimnisse an eine externe Adresse überträgt:
Das Erstellen einer neuen .circleci/config.yml in einem Repo reicht nicht aus, um einen CircleCI-Build auszulösen. Sie müssen es als Projekt in der CircleCI-Konsole aktivieren.
CircleCI bietet Ihnen die Möglichkeit, Ihre Builds auf ihren Maschinen oder auf Ihren eigenen auszuführen. Standardmäßig befinden sich ihre Maschinen in GCP, und anfangs werden Sie nichts Relevantes finden können. Wenn ein Opfer jedoch die Aufgaben auf seinen eigenen Maschinen (möglicherweise in einer Cloud-Umgebung) ausführt, könnten Sie einen Cloud-Metadaten-Endpunkt mit interessanten Informationen darauf finden.
Beachten Sie, dass in den vorherigen Beispielen alles innerhalb eines Docker-Containers gestartet wurde, aber Sie können auch bitten, eine VM-Maschine zu starten (die möglicherweise unterschiedliche Cloud-Berechtigungen hat):
Oder sogar einen Docker-Container mit Zugriff auf einen Remote-Docker-Dienst:
Es ist möglich, Benutzertokens in CircleCI zu erstellen, um auf die API-Endpunkte mit den Benutzerzugriffsrechten zuzugreifen.
https://app.circleci.com/settings/user/tokens
Es ist möglich, Projekttokens zu erstellen, um auf das Projekt mit den dem Token zugewiesenen Berechtigungen zuzugreifen.
https://app.circleci.com/settings/project/github/<org>/<repo>/api
Es ist möglich, SSH-Schlüssel zu den Projekten hinzuzufügen.
https://app.circleci.com/settings/project/github/<org>/<repo>/ssh
Es ist möglich, einen Cron-Job in einem versteckten Branch in einem unerwarteten Projekt zu erstellen, der jeden Tag alle Kontext-Umgebungsvariablen leakt.
Oder sogar in einem Branch einen bekannten Job zu erstellen/modifizieren, der jeden Tag alle Kontexte und Projektheimlichkeiten leakt.
Wenn Sie ein GitHub-Besitzer sind, können Sie unverifizierte Orbs zulassen und einen in einem Job als Hintertür konfigurieren.
Sie können eine Befehlsinjektionsanfälligkeit in einigen Aufgaben finden und Befehle über ein Geheimnis injizieren, indem Sie dessen Wert ändern.
Lernen & üben Sie AWS Hacking:HackTricks Training AWS Red Team Expert (ARTE) Lernen & üben Sie GCP Hacking: HackTricks Training GCP Red Team Expert (GRTE)
