Отравленное выполнение конвейера

Злоумышленники могут манипулировать процессами непрерывной интеграции/непрерывной разработки (CI/CD), внедряя вредоносный код в процесс сборки. Существует несколько механизмов отравления конвейеров: * В сценарии <b>Прямого выполнения конвейера</b> угрожающий субъект напрямую изменяет файл конфигурации CI (например, `gitlab-ci.yml` в GitLab). Они могут включить команду для эксфильтрации учетных данных, используемых в процессе сборки, на удаленный сервер или для экспорта их в качестве артефакта рабочего процесса. * В сценарии <b>Косвенного выполнения конвейера</b> угрожающий субъект внедряет вредоносный код в файлы, на которые ссылается файл конфигурации CI. Они могут включать make-файлы, скрипты, модульные тесты и линтеры. * В сценарии <b>Публичного выполнения конвейера</b> угрожающий субъект не имеет прямого доступа к репозиторию, но вместо этого создает вредоносный запрос на слияние из форка, который запускает часть конвейера CI/CD. Например, в GitHub Actions триггер `pull_request_target` позволяет рабочим процессам, выполняющимся из форкнутых репозиториев, получать доступ к секретам. Если этот триггер сочетается с явной проверкой запроса на слияние и местом для вставки вредоносного кода угрожающим субъектом (например, командой `npm build`), угрожающий субъект может утечь учетные данные конвейера. Аналогично, угрожающие субъекты могут создавать запросы на слияние с вредоносными входными данными (такими как имена веток), если конвейер сборки обрабатывает эти входные данные как доверенные. Наконец, если конвейер использует самостоятельно размещенный раннер, угрожающий субъект может выполнить произвольный код на хосте внутри сети организации. Отравляя конвейеры CI/CD, угрожающие субъекты могут получить доступ к учетным данным, горизонтально перемещаться к дополнительным хостам или внедрить вредоносные компоненты для дальнейшей отправки по конвейеру (т.е. Компрометация цепочки поставок).