Terraform Security

Basic Information

HashiCorp Terraform은 코드로서의 인프라 도구로, 사람이 읽을 수 있는 구성 파일에서 클라우드 및 온프레미스 리소스를 정의할 수 있게 해줍니다. 이러한 파일은 버전 관리, 재사용 및 공유가 가능합니다. 그런 다음 일관된 워크플로를 사용하여 인프라의 전체 수명 주기 동안 모든 인프라를 프로비저닝하고 관리할 수 있습니다. Terraform은 컴퓨팅, 스토리지 및 네트워킹 리소스와 같은 저수준 구성 요소뿐만 아니라 DNS 항목 및 SaaS 기능과 같은 고수준 구성 요소를 관리할 수 있습니다.

Terraform은 어떻게 작동하나요?

Terraform은 클라우드 플랫폼 및 기타 서비스에서 애플리케이션 프로그래밍 인터페이스 (API)를 통해 리소스를 생성하고 관리합니다. 공급자는 Terraform이 접근 가능한 API가 있는 거의 모든 플랫폼이나 서비스와 작업할 수 있도록 합니다.

Terraform의 핵심 워크플로는 세 가지 단계로 구성됩니다:

• 작성: 여러 클라우드 공급자 및 서비스에 걸쳐 리소스를 정의합니다. 예를 들어, 보안 그룹과 로드 밸런서가 있는 가상 사설 클라우드 (VPC) 네트워크의 가상 머신에 애플리케이션을 배포하는 구성을 만들 수 있습니다.

• 계획: Terraform은 기존 인프라와 구성에 따라 생성, 업데이트 또는 삭제할 인프라를 설명하는 실행 계획을 생성합니다.

• 적용: 승인이 이루어지면 Terraform은 리소스 종속성을 존중하며 제안된 작업을 올바른 순서로 수행합니다. 예를 들어, VPC의 속성을 업데이트하고 해당 VPC의 가상 머신 수를 변경하면 Terraform은 가상 머신을 확장하기 전에 VPC를 재생성합니다.

Terraform Lab

컴퓨터에 terraform을 설치하세요.

RCE in Terraform

Terraform은 웹 페이지나 네트워크 서비스를 노출하는 플랫폼이 없습니다. 따라서 terraform을 손상시키는 유일한 방법은 terraform 구성 파일을 추가/수정할 수 있는 능력입니다.

그러나 terraform은 매우 민감한 구성 요소로, 제대로 작동하기 위해 특권 액세스를 다양한 위치에 가져야 합니다.

공격자가 terraform이 실행되는 시스템을 손상시킬 수 있는 주요 방법은 terraform 구성을 저장하는 리포지토리를 손상시키는 것입니다. 왜냐하면 언젠가는 이들이 해석될 것이기 때문입니다.

실제로, PR이 생성된 후 terraform plan/apply를 자동으로 실행하는 솔루션이 존재합니다. 예를 들어 Atlantis가 있습니다:

terraform 파일을 손상시킬 수 있다면, 누군가 terraform plan 또는 terraform apply를 실행할 때 RCE를 수행할 수 있는 다양한 방법이 있습니다.

Terraform plan

Terraform plan은 terraform에서 가장 많이 사용되는 명령어이며, terraform을 사용하는 개발자/솔루션은 이를 항상 호출합니다. 따라서 RCE를 얻는 가장 쉬운 방법은 임의의 명령을 실행할 terraform 구성 파일을 오염시키는 것입니다.

외부 공급자 사용

terraform 구성 파일에 다음과 같은 내용을 주입하면 terraform plan을 실행할 때 rev shell이 실행됩니다:

사용자 정의 제공자 사용하기

The provider is downloaded in the init and will run the malicious code when plan is executed

외부 참조 사용하기

두 가지 언급된 옵션은 유용하지만 그리 은밀하지는 않습니다 (두 번째는 더 은밀하지만 첫 번째보다 더 복잡합니다). 다음 제안을 따르면 이 공격을 더 은밀한 방법으로 수행할 수 있습니다:

• terraform 파일에 rev shell을 직접 추가하는 대신, rev shell을 포함하는 외부 리소스를 로드할 수 있습니다:

• 외부 리소스에서 ref 기능을 사용하여 리포지토리 내의 브랜치에 있는 terraform rev shell 코드를 숨길 수 있습니다. 예: git@github.com:carlospolop/terraform_external_module_rev_shell//modules?ref=b401d2b

Terraform Apply

이 공격을 더 은밀한 방법으로 외부 참조를 사용하여 수행하기 위해 이전 기술의 제안을 따르십시오.

비밀 덤프

terraform apply를 실행하여 terraform에서 사용되는 비밀 값을 덤프할 수 있습니다. terraform 파일에 다음과 같은 내용을 추가하십시오:

Terraform 상태 파일 악용

리소스 삭제

리소스를 파괴하는 방법은 2가지가 있습니다:

1. 실제 삭제할 리소스를 가리키는 임의의 이름으로 리소스를 상태 파일에 삽입하기

terraform은 해당 리소스가 존재하지 않아야 한다고 판단하여, 이를 파괴할 것입니다(지정된 실제 리소스 ID를 따릅니다). 이전 페이지의 예:

1. 업데이트할 수 없는 방식으로 삭제할 리소스를 수정합니다 (그래서 삭제되고 다시 생성됩니다)

EC2 인스턴스의 경우, 인스턴스 유형을 수정하는 것만으로 terraform이 삭제하고 다시 생성하도록 만들 수 있습니다.

RCE

블랙리스트에 있는 프로바이더 교체

hashicorp/external이 블랙리스트에 있는 상황에 직면한 경우, 다음과 같이 external 프로바이더를 재구현할 수 있습니다. 참고: 우리는 https://registry.terraform.io/providers/nazarewk/external/latest에서 게시된 external 프로바이더의 포크를 사용합니다. 당신도 자신의 포크나 재구현을 게시할 수 있습니다.

그런 다음 일반적으로 external을 사용할 수 있습니다.

감사 도구

참고 문헌