AWS - CodeBuild Unauthenticated Access

Reading time: 3 minutes

CodeBuild

Für weitere Informationen siehe diese Seite:

AWS - Codebuild Enum

buildspec.yml

Wenn Sie Schreibzugriff auf ein Repository mit einer Datei namens buildspec.yml erlangen, könnten Sie diese Datei backdoor und die Befehle, die innerhalb eines CodeBuild-Projekts ausgeführt werden sollen, spezifizieren sowie die Geheimnisse exfiltrieren, was durchgeführt wird, und auch die CodeBuild IAM-Rollenanmeldeinformationen gefährden.

Beachten Sie, dass selbst wenn es keine buildspec.yml-Datei gibt, Sie aber wissen, dass Codebuild verwendet wird (oder ein anderes CI/CD), das Ändern von legitimen Code, der ausgeführt werden soll, Ihnen ebenfalls beispielsweise eine Reverse-Shell verschaffen kann.

Für einige verwandte Informationen könnten Sie die Seite über den Angriff auf Github Actions (ähnlich wie diese) überprüfen:

Abusing Github Actions

Selbstgehostete GitHub Actions-Runners in AWS CodeBuild

Wie in den Dokumenten angegeben, ist es möglich, CodeBuild so zu konfigurieren, dass selbstgehostete Github-Aktionen ausgeführt werden, wenn ein Workflow in einem konfigurierten Github-Repo ausgelöst wird. Dies kann durch Überprüfung der CodeBuild-Projektkonfiguration erkannt werden, da der Event type enthalten sein muss: WORKFLOW_JOB_QUEUED und in einem Github-Workflow, da er einen selbstgehosteten Runner wie folgt auswählen wird:

runs-on: codebuild-<project-name>-${{ github.run_id }}-${{ github.run_attempt }}

Diese neue Beziehung zwischen Github Actions und AWS schafft eine weitere Möglichkeit, AWS über Github zu kompromittieren, da der Code in Github in einem CodeBuild-Projekt mit einer angehängten IAM-Rolle ausgeführt wird.