AWS - CodeBuild Nicht authentifizierter Zugriff

Reading time: 3 minutes

CodeBuild

Für weitere Informationen siehe diese Seite:

AWS - Codebuild Enum

buildspec.yml

Wenn Sie Schreibzugriff auf ein Repository erlangen, das eine Datei mit dem Namen buildspec.yml enthält, könnten Sie diese Datei backdoorn. Diese Datei legt die Befehle fest, die innerhalb eines CodeBuild-Projekts ausgeführt werden und kann genutzt werden, um Secrets zu exfiltrate, die ausgeführten Aktionen zu kompromittieren und außerdem die CodeBuild IAM role credentials zu kompromittieren.

Beachten Sie, dass selbst wenn keine buildspec.yml-Datei vorhanden ist, aber bekannt ist, dass Codebuild (oder ein anderes CI/CD) verwendet wird, das modifying some legit code, das ausgeführt wird, beispielsweise ebenfalls eine reverse shell ermöglichen kann.

Für verwandte Informationen können Sie die Seite zum Angreifen von GitHub Actions (ähnlich zu diesem Fall) lesen:

Abusing Github Actions

Selbstgehostete GitHub Actions Runner in AWS CodeBuild

Wie in der Dokumentation angegeben, ist es möglich, CodeBuild so zu konfigurieren, dass beim Auslösen eines Workflows in einem konfigurierten GitHub-Repository self-hosted GitHub Actions ausgeführt werden. Das lässt sich erkennen, indem man die CodeBuild-Projektkonfiguration prüft: der Event type muss WORKFLOW_JOB_QUEUED enthalten, und im GitHub-Workflow wird ein self-hosted Runner wie folgt ausgewählt:

runs-on: codebuild-<project-name>-${{ github.run_id }}-${{ github.run_attempt }}

Diese neue Beziehung zwischen Github Actions und AWS schafft einen weiteren Weg, AWS von Github aus zu kompromittieren, da der Code in Github in einem CodeBuild-Projekt mit einer angehängten IAM-Rolle ausgeführt wird.