GCP - Artifact Registry Persistence
Artifact Registry
Pour plus d'informations sur l'Artifact Registry, consultez :
Confusion de dépendance
Que se passe-t-il si des dépôts distants et standards sont mélangés dans un virtuel et qu'un package existe dans les deux ?
Celui avec la priorité la plus élevée définie dans le dépôt virtuel est utilisé
Si la priorité est la même :
Si la version est la même, le nom de la politique par ordre alphabétique dans le dépôt virtuel est utilisé
Sinon, la version la plus élevée est utilisée
Par conséquent, il est possible d'abuser d'une version la plus élevée (confusion de dépendance) dans un registre de packages public si le dépôt distant a une priorité plus élevée ou égale
Cette technique peut être utile pour la persistence et l'accès non authentifié, car pour en abuser, il suffit de connaître le nom d'une bibliothèque stockée dans l'Artifact Registry et de créer cette même bibliothèque dans le dépôt public (PyPi pour python par exemple) avec une version plus élevée.
Pour la persistence, voici les étapes à suivre :
Exigences : Un dépôt virtuel doit exister et être utilisé, un package interne avec un nom qui n'existe pas dans le dépôt public doit être utilisé.
Créez un dépôt distant s'il n'existe pas
Ajoutez le dépôt distant au dépôt virtuel
Modifiez les politiques du registre virtuel pour donner une priorité plus élevée (ou égale) au dépôt distant. Exécutez quelque chose comme :
Téléchargez le package légitime, ajoutez votre code malveillant et enregistrez-le dans le dépôt public avec la même version. Chaque fois qu'un développeur l'installe, il installera le vôtre !
Pour plus d'informations sur la confusion de dépendance, consultez :
Last updated
