Pentesting CI/CD Methodology
VCS
VCS inamaanisha Mfumo wa Kudhibiti Toleo, mifumo hii inawawezesha waendelezaji kusimamia msimbo wao wa chanzo. Mmoja wa kawaida ni git na kawaida utaona kampuni zikilitumia katika moja ya majukwaa yafuatayo:
Github
Gitlab
Bitbucket
Gitea
Watoa huduma wa wingu (wanatoa majukwaa yao ya VCS)
Pipelines
Pipelines zinawawezesha waendelezaji kujiandaa kwa utekelezaji wa msimbo (kwa ajili ya kujenga, kujaribu, kutekeleza... madhumuni) baada ya hatua fulani kutokea: Push, PR, cron... Zinasaidia sana kujiandaa kwa hatua zote kutoka maendeleo hadi uzalishaji.
Hata hivyo, mifumo hii inahitaji kutekelezwa mahali fulani na kawaida kwa akidi za kibali ili kutekeleza msimbo.
VCS Pentesting Methodology
Hata kama baadhi ya majukwaa ya VCS yanaruhusu kuunda pipelines kwa sehemu hii tutachambua tu mashambulizi yanayoweza kutokea kwenye udhibiti wa msimbo wa chanzo.
Majukwaa yanayoshikilia msimbo wa mradi wako yana habari nyeti na watu wanahitaji kuwa makini sana na ruhusa zinazotolewa ndani ya jukwaa hili. Haya ni baadhi ya matatizo ya kawaida katika majukwaa ya VCS ambayo mshambuliaji anaweza kuyatumia:
Leaks: Ikiwa msimbo wako una leaks katika commits na mshambuliaji anaweza kufikia repo (kwa sababu ni ya umma au kwa sababu ana ufikiaji), anaweza kugundua leaks.
Access: Ikiwa mshambuliaji anaweza kufikia akaunti ndani ya jukwaa la VCS anaweza kupata nadharia zaidi na ruhusa.
Register: Baadhi ya majukwaa yataruhusu tu watumiaji wa nje kuunda akaunti.
SSO: Baadhi ya majukwaa hayataruhusu watumiaji kujiandikisha, lakini yataruhusu mtu yeyote kufikia kwa SSO halali (hivyo mshambuliaji anaweza kutumia akaunti yake ya github kuingia kwa mfano).
Credentials: Jina la mtumiaji + Pwd, alama za kibinafsi, funguo za ssh, alama za Oauth, cookies... kuna aina kadhaa za alama ambazo mtumiaji anaweza kuiba ili kufikia kwa njia fulani repo.
Webhooks: Majukwaa ya VCS yanaruhusu kuunda webhooks. Ikiwa hazijalindwa na siri zisizoonekana mshambuliaji anaweza kuzitumia vibaya.
Ikiwa hakuna siri iliyowekwa, mshambuliaji anaweza kutumia vibaya webhook ya jukwaa la tatu
Ikiwa siri iko kwenye URL, jambo hilo linaweza kutokea na mshambuliaji pia ana siri hiyo
Code compromise: Ikiwa mhusika mbaya ana aina fulani ya kuandika ufikiaji juu ya repos, anaweza kujaribu kuingiza msimbo mbaya. Ili kufanikiwa anaweza kuhitaji kuzidi ulinzi wa tawi. Vitendo hivi vinaweza kufanywa kwa malengo tofauti akilini:
Kuathiri tawi kuu ili kuathiri uzalishaji.
Kuathiri tawi kuu (au matawi mengine) ili kuathiri mashine za waendelezaji (kama kawaida wanatekeleza majaribio, terraform au mambo mengine ndani ya repo kwenye mashine zao).
Kuathiri pipeline (angalia sehemu inayofuata)
Pipelines Pentesting Methodology
Njia ya kawaida zaidi ya kufafanua pipeline, ni kwa kutumia faili ya usanidi wa CI iliyohifadhiwa katika hazina ambayo pipeline inajenga. Faili hii inaelezea mpangilio wa kazi zinazotekelezwa, masharti yanayoathiri mtiririko, na mipangilio ya mazingira ya kujenga. Faili hizi kwa kawaida zina jina na muundo wa kawaida, kwa mfano — Jenkinsfile (Jenkins), .gitlab-ci.yml (GitLab), .circleci/config.yml (CircleCI), na faili za YAML za GitHub Actions zilizo chini ya .github/workflows. Wakati inasababishwa, kazi ya pipeline inavuta msimbo kutoka chanzo kilichochaguliwa (kwa mfano commit / branch), na inaendesha amri zilizotajwa katika faili ya usanidi wa CI dhidi ya msimbo huo.
Kwa hivyo lengo kuu la mshambuliaji ni kwa namna fulani kuathiri faili hizo za usanidi au amri wanazotekeleza.
PPE - Poisoned Pipeline Execution
Njia ya Utekelezaji wa Pipeline Iliochafuliwa (PPE) inatumia ruhusa katika hazina ya SCM ili manipuleta pipeline ya CI na kutekeleza amri hatari. Watumiaji wenye ruhusa zinazohitajika wanaweza kubadilisha faili za usanidi wa CI au faili nyingine zinazotumiwa na kazi ya pipeline ili kujumuisha amri mbaya. Hii "inachafuliwa" pipeline ya CI, ikisababisha utekelezaji wa amri hizi mbaya.
Ili mhusika mbaya afanikiwe kufanya shambulio la PPE anahitaji kuwa na uwezo wa:
Kuwa na ufikiaji wa kuandika kwenye jukwaa la VCS, kwani kawaida pipelines husababishwa wakati push au pull request inafanywa. (Angalia mbinu ya pentesting ya VCS kwa muhtasari wa njia za kupata ufikiaji).
Kumbuka kwamba wakati mwingine PR ya nje inachukuliwa kama "ufikiaji wa kuandika".
Hata kama ana ruhusa za kuandika, anahitaji kuwa na uhakika anaweza kubadilisha faili ya usanidi wa CI au faili nyingine ambazo usanidi unategemea.
Kwa hili, anaweza kuhitaji kuwa na uwezo wa kuzidi ulinzi wa tawi.
Kuna ladha 3 za PPE:
D-PPE: Shambulio la Direct PPE linatokea wakati mhusika anapobadilisha faili ya usanidi wa CI ambayo itatekelezwa.
I-DDE: Shambulio la Indirect PPE linatokea wakati mhusika anapobadilisha faili ambayo faili ya usanidi wa CI inategemea (kama faili ya kutengeneza au usanidi wa terraform).
Public PPE au 3PE: Katika baadhi ya matukio pipelines zinaweza kusababishwa na watumiaji ambao hawana ufikiaji wa kuandika katika repo (na ambao huenda hata si sehemu ya shirika) kwa sababu wanaweza kutuma PR.
3PE Command Injection: Kawaida, pipelines za CI/CD zitakuwa zimeweka mabadiliko ya mazingira na habari kuhusu PR. Ikiwa thamani hiyo inaweza kudhibitiwa na mshambuliaji (kama kichwa cha PR) na inatumika katika mahali hatari (kama kutekeleza amri za sh), mshambuliaji anaweza kuingiza amri hapo.
Exploitation Benefits
Kujua ladha 3 za kuachafulia pipeline, hebu tuangalie ni nini mshambuliaji anaweza kupata baada ya unyakuzi wa mafanikio:
Secrets: Kama ilivyotajwa hapo awali, pipelines zinahitaji privileges kwa kazi zao (kurejesha msimbo, kuujenga, kuutekeleza...) na ruhusa hizi kawaida zimepewa katika siri. Siri hizi kwa kawaida zinapatikana kupitia mabadiliko ya mazingira au faili ndani ya mfumo. Kwa hivyo mshambuliaji daima atajaribu kuhamasisha siri nyingi kadri inavyowezekana.
Kulingana na jukwaa la pipeline mshambuliaji anaweza kuhitaji kutaja siri katika usanidi. Hii inamaanisha kwamba ikiwa mshambuliaji cannot kubadilisha pipeline ya usanidi wa CI (I-PPE kwa mfano), anaweza tu kuhamasisha siri ambazo pipeline hiyo ina.
Computation: Msimbo unatekelezwa mahali fulani, kulingana na mahali unatekelezwa mshambuliaji anaweza kuwa na uwezo wa kuhamasisha zaidi.
On-Premises: Ikiwa pipelines zinatekelezwa kwenye premises, mshambuliaji anaweza kumaliza katika mtandao wa ndani wenye ufikiaji wa rasilimali zaidi.
Cloud: Mshambuliaji anaweza kufikia mashine nyingine kwenye wingu lakini pia anaweza kuhamasisha alama za IAM/akaunti za huduma tokens kutoka kwake ili kupata ufikiaji zaidi ndani ya wingu.
Platforms machine: Wakati mwingine kazi zitatekelezwa ndani ya mashine za jukwaa la pipelines, ambazo kawaida ziko ndani ya wingu bila ufikiaji zaidi.
Select it: Wakati mwingine jukwaa la pipelines litakuwa limeweka mashine kadhaa na ikiwa unaweza kubadilisha faili ya usanidi wa CI unaweza kuonyesha wapi unataka kutekeleza msimbo mbaya. Katika hali hii, mshambuliaji labda atatekeleza shell ya kurudi kwenye kila mashine inayowezekana kujaribu kuhamasisha zaidi.
Compromise production: Ikiwa uko ndani ya pipeline na toleo la mwisho linajengwa na kutekelezwa kutoka kwake, unaweza kuathiri msimbo ambao utaishia kutekelezwa katika uzalishaji.
More relevant info
Tools & CIS Benchmark
Chain-bench ni zana ya chanzo wazi kwa ajili ya kukagua mnyororo wa usambazaji wa programu yako kwa ajili ya kufuata usalama kulingana na CIS Software Supply Chain benchmark. Ukaguzi unalenga mchakato mzima wa SDLC, ambapo unaweza kufichua hatari kutoka wakati wa msimbo hadi wakati wa kutekeleza.
Top 10 CI/CD Security Risk
Angalia makala hii ya kuvutia kuhusu hatari 10 bora za CI/CD kulingana na Cider: https://www.cidersecurity.io/top-10-cicd-security-risks/
Labs
Kwenye kila jukwaa ambalo unaweza kukimbia kwa ndani utapata jinsi ya kulizindua ndani ili uweze kulisawazisha kama unavyotaka kulijaribu
Gitea + Jenkins lab: https://github.com/cider-security-research/cicd-goat
Automatic Tools
Checkov: Checkov ni zana ya uchambuzi wa msimbo wa statiki kwa ajili ya miundombinu kama msimbo.
References
Last updated
