Gh Actions - Artifact Poisoning

Erlernen Sie AWS-Hacking von Null auf Held mit htARTE (HackTricks AWS Red Team Expert)!

Andere Möglichkeiten, HackTricks zu unterstützen:

• Wenn Sie Ihr Unternehmen in HackTricks beworben sehen möchten oder HackTricks als PDF herunterladen möchten, überprüfen Sie die ABONNEMENTPLÄNE!

• Holen Sie sich das offizielle PEASS & HackTricks-Merchandise

• Entdecken Sie The PEASS Family, unsere Sammlung exklusiver NFTs

• Treten Sie der 💬 Discord-Gruppe oder der Telegram-Gruppe bei oder folgen Sie uns auf Twitter 🐦 @hacktricks_live.

• Teilen Sie Ihre Hacking-Tricks, indem Sie PRs an die HackTricks und HackTricks Cloud GitHub-Repositories senden.

Artefakt-Vergiftung

Es gibt mehrere Github-Actions, die es ermöglichen, Artefakte aus anderen Repositories herunterzuladen. Diese anderen Repositories haben in der Regel eine Github-Action zum Hochladen des Artefakts, das später heruntergeladen wird.

Wenn ein Angreifer die Github-Action auf irgendeine Weise kompromittieren kann, wird er in der Lage sein, das hochgeladene Artefakt zu kompromittieren, was es ihm ermöglichen könnte, andere Workflows zu kompromittieren, die es verwenden.

Beispiel für Herunterladen eines Artefakts aus einem anderen Repository:

Für weitere Informationen und Verteidigungsoptionen (wie z.B. das Hartcodieren des Artefakts zum Herunterladen) siehe https://www.legitsecurity.com/blog/artifact-poisoning-vulnerability-discovered-in-rust

Erlernen Sie AWS-Hacking von Null auf Held mit htARTE (HackTricks AWS Red Team Expert)!

Andere Möglichkeiten, HackTricks zu unterstützen:

• Wenn Sie Ihr Unternehmen in HackTricks beworben sehen möchten oder HackTricks als PDF herunterladen möchten, überprüfen Sie die ABONNEMENTPLÄNE!

• Holen Sie sich das offizielle PEASS & HackTricks-Merchandise

• Entdecken Sie The PEASS Family, unsere Sammlung exklusiver NFTs

• Treten Sie der 💬 Discord-Gruppe oder der Telegram-Gruppe bei oder folgen Sie uns auf Twitter 🐦 @hacktricks_live.

• Teilen Sie Ihre Hacking-Tricks, indem Sie PRs an die HackTricks und HackTricks Cloud GitHub-Repositories senden.