Pentesting CI/CD Methodology

Reading time: 8 minutes

VCS

VCS inamaanisha Version Control System, hizi mifumo inawawezesha waendelezaji kusimamia msimbo wao wa chanzo. Mmoja wa kawaida ni git na kawaida utaona kampuni zikilitumia katika moja ya majukwaa yafuatayo:

• Github
• Gitlab
• Bitbucket
• Gitea
• Watoa huduma wa wingu (wanatoa majukwaa yao ya VCS)

CI/CD Pipelines

CI/CD pipelines zinawawezesha waendelezaji kujiandaa kutekeleza msimbo kwa madhumuni mbalimbali, ikiwa ni pamoja na kujenga, kujaribu, na kupeleka programu. Mifumo hii ya kiotomatiki inachochewa na vitendo maalum, kama vile kusukuma msimbo, maombi ya kuvuta, au kazi zilizopangwa. Zinasaidia katika kuboresha mchakato kutoka kwa maendeleo hadi uzalishaji.

Hata hivyo, mifumo hii inahitaji kutekelezwa mahali fulani na kawaida kwa akidi za kibali ili kupeleka msimbo au kufikia taarifa nyeti.

VCS Pentesting Methodology

Majukwaa yanayoshikilia msimbo wa mradi wako yana taarifa nyeti na watu wanahitaji kuwa makini sana na ruhusa zinazotolewa ndani ya jukwaa hili. Haya ni baadhi ya matatizo ya kawaida katika majukwaa ya VCS ambayo mshambuliaji anaweza kutumia:

• Leaks: Ikiwa msimbo wako una leaks katika commits na mshambuliaji anaweza kufikia repo (kwa sababu ni ya umma au kwa sababu ana ufikiaji), anaweza kugundua leaks.
• Access: Ikiwa mshambuliaji anaweza kufikia akaunti ndani ya jukwaa la VCS anaweza kupata nadharia zaidi na ruhusa.
• Register: Baadhi ya majukwaa yataruhusu tu watumiaji wa nje kuunda akaunti.
• SSO: Baadhi ya majukwaa hayataruhusu watumiaji kujiandikisha, lakini yataruhusu mtu yeyote kufikia kwa SSO halali (hivyo mshambuliaji anaweza kutumia akaunti yake ya github kuingia kwa mfano).
• Credentials: Jina la mtumiaji + Pwd, alama za kibinafsi, funguo za ssh, alama za Oauth, cookies... kuna aina kadhaa za alama ambazo mtumiaji anaweza kuiba ili kufikia kwa njia fulani repo.
• Webhooks: Majukwaa ya VCS yanaruhusu kuunda webhooks. Ikiwa hazijalindwa na siri zisizoonekana mshambuliaji anaweza kuzitumia vibaya.
• Ikiwa hakuna siri iliyowekwa, mshambuliaji anaweza kutumia vibaya webhook ya jukwaa la tatu
• Ikiwa siri iko katika URL, jambo hilo linaweza kutokea na mshambuliaji pia ana siri hiyo
• Code compromise: Ikiwa mhusika mbaya ana aina fulani ya kuandika ufikiaji juu ya repos, anaweza kujaribu kuingiza msimbo mbaya. Ili kufanikiwa anaweza kuhitaji kuzidi ulinzi wa tawi. Vitendo hivi vinaweza kufanywa kwa malengo tofauti:
• Kuathiri tawi kuu ili kuathiri uzalishaji.
• Kuathiri tawi kuu (au matawi mengine) ili kuathiri mashine za waendelezaji (kama kawaida wanatekeleza majaribio, terraform au mambo mengine ndani ya repo kwenye mashine zao).
• Kuathiri pipeline (angalia sehemu inayofuata)

Pipelines Pentesting Methodology

Njia ya kawaida zaidi ya kufafanua pipeline, ni kwa kutumia faili ya usanidi wa CI iliyohifadhiwa katika hazina ambayo pipeline inajenga. Faili hii inaelezea mpangilio wa kazi zinazotekelezwa, masharti yanayoathiri mtiririko, na mipangilio ya mazingira ya kujenga.
Faili hizi kwa kawaida zina jina na muundo wa kawaida, kwa mfano — Jenkinsfile (Jenkins), .gitlab-ci.yml (GitLab), .circleci/config.yml (CircleCI), na faili za YAML za GitHub Actions zilizo chini ya .github/workflows. Wakati inachochewa, kazi ya pipeline inavuta msimbo kutoka chanzo kilichochaguliwa (k.m. commit / branch), na inaendesha amri zilizotajwa katika faili ya usanidi wa CI dhidi ya msimbo huo.

Hivyo lengo kuu la mshambuliaji ni kwa namna fulani kuathiri faili hizo za usanidi au amri wanazotekeleza.

PPE - Poisoned Pipeline Execution

Njia ya Poisoned Pipeline Execution (PPE) inatumia ruhusa katika hazina ya SCM ili manipulative pipeline ya CI na kutekeleza amri hatari. Watumiaji wenye ruhusa zinazohitajika wanaweza kubadilisha faili za usanidi wa CI au faili nyingine zinazotumiwa na kazi ya pipeline ili kujumuisha amri mbaya. Hii "inasababisha sumu" pipeline ya CI, ikisababisha kutekelezwa kwa amri hizi mbaya.

Ili mhusika mbaya afanikiwe kufanya shambulio la PPE anahitaji kuwa na uwezo wa:

• Kuwa na ufikiaji wa kuandika kwenye jukwaa la VCS, kwani kawaida pipelines zinachochewa wakati kusukuma au ombi la kuvuta linafanywa. (Angalia metodolojia ya pentesting ya VCS kwa muhtasari wa njia za kupata ufikiaji).
• Kumbuka kwamba wakati mwingine PR ya nje inachukuliwa kama "ufikiaji wa kuandika".
• Hata kama ana ruhusa za kuandika, anahitaji kuwa na uhakika anaweza kubadilisha faili ya usanidi wa CI au faili nyingine ambazo usanidi unategemea.
• Kwa hili, anaweza kuhitaji kuwa na uwezo wa kuzidi ulinzi wa tawi.

Kuna ladha 3 za PPE:

• D-PPE: Shambulio la Direct PPE linatokea wakati mhusika anapobadilisha faili ya usanidi wa CI ambayo itatekelezwa.
• I-DDE: Shambulio la Indirect PPE linatokea wakati mhusika anapobadilisha faili ambayo faili ya usanidi wa CI ambayo itatekelezwa inategemea (kama faili ya kutengeneza au usanidi wa terraform).
• Public PPE au 3PE: Katika baadhi ya matukio pipelines zinaweza kuchochewa na watumiaji ambao hawana ufikiaji wa kuandika katika repo (na ambao huenda hata si sehemu ya shirika) kwa sababu wanaweza kutuma PR.
• 3PE Command Injection: Kawaida, pipelines za CI/CD zitakuwa kweka mabadiliko ya mazingira na taarifa kuhusu PR. Ikiwa thamani hiyo inaweza kudhibitiwa na mshambuliaji (kama kichwa cha PR) na inatumika katika mahali hatari (kama kutekeleza amri za sh), mshambuliaji anaweza kuingiza amri hapo.

Exploitation Benefits

Kujua ladha 3 za sumu pipeline, hebu tuangalie ni nini mshambuliaji anaweza kupata baada ya uhalifu wa mafanikio:

• Secrets: Kama ilivyotajwa hapo awali, pipelines zinahitaji privileges kwa kazi zao (kurejesha msimbo, kuujenga, kupeleka...) na ruhusa hizi kwa kawaida zinatolewa katika siri. Siri hizi kwa kawaida zinapatikana kupitia mabadiliko ya mazingira au faili ndani ya mfumo. Hivyo mshambuliaji daima atajaribu kuhamasisha siri nyingi kadri inavyowezekana.
• Kulingana na jukwaa la pipeline mshambuliaji anaweza kuhitaji kutaja siri katika usanidi. Hii inamaanisha kwamba ikiwa mshambuliaji hawezi kubadilisha pipeline ya usanidi wa CI (I-PPE kwa mfano), anaweza tu kuhamasisha siri ambazo pipeline hiyo ina.
• Computation: Msimbo unatekelezwa mahali fulani, kulingana na mahali unatekelezwa mshambuliaji anaweza kuwa na uwezo wa kuhamasisha zaidi.
• On-Premises: Ikiwa pipelines zinatekelezwa kwenye premises, mshambuliaji anaweza kuishia katika mtandao wa ndani wenye ufikiaji wa rasilimali zaidi.
• Cloud: Mshambuliaji anaweza kufikia mashine nyingine katika wingu lakini pia anaweza kuhamasisha alama za IAM/akaunti za huduma tokens kutoka kwake ili kupata ufikiaji zaidi ndani ya wingu.
• Platforms machine: Wakati mwingine kazi zitatekelezwa ndani ya mashine za jukwaa la pipelines, ambazo kwa kawaida ziko ndani ya wingu bila ufikiaji zaidi.
• Select it: Wakati mwingine jukwaa la pipelines litakuwa limepanga mashine kadhaa na ikiwa unaweza kubadilisha faili ya usanidi wa CI unaweza kuashiria wapi unataka kutekeleza msimbo mbaya. Katika hali hii, mshambuliaji labda atakimbia shell ya kurudi kwenye kila mashine inayowezekana kujaribu kuifanyia kazi zaidi.
• Compromise production: Ikiwa uko ndani ya pipeline na toleo la mwisho linajengwa na kupelekwa kutoka kwake, unaweza kuathiri msimbo ambao utaishia kutekelezwa katika uzalishaji.

More relevant info

Tools & CIS Benchmark

• Chain-bench ni zana ya chanzo wazi kwa ajili ya kukagua mnyororo wa usambazaji wa programu yako kwa ajili ya kufuata usalama kulingana na CIS Software Supply Chain benchmark. Ukaguzi unalenga mchakato mzima wa SDLC, ambapo unaweza kufichua hatari kutoka wakati wa msimbo hadi wakati wa kupeleka.

Top 10 CI/CD Security Risk

Angalia makala hii ya kuvutia kuhusu hatari 10 bora za CI/CD kulingana na Cider: https://www.cidersecurity.io/top-10-cicd-security-risks/

Labs

• Kwenye kila jukwaa ambalo unaweza kukimbia kwa ndani utaona jinsi ya kulizindua ndani ili uweze kulipanga kama unavyotaka kulijaribu
• Gitea + Jenkins lab: https://github.com/cider-security-research/cicd-goat

Automatic Tools

• Checkov: Checkov ni zana ya uchambuzi wa msimbo wa statiki kwa ajili ya miundombinu kama msimbo.

References

• https://www.cidersecurity.io/blog/research/ppe-poisoned-pipeline-execution/?utm_source=github&utm_medium=github_page&utm_campaign=ci%2fcd%20goat_060422