flawopen.com/GitHub Actions सुरक्षा/Workflow स्क्रिप्ट इंजेक्शन

GitHub Actions स्क्रिप्ट इंजेक्शन कैसे होता है और इसे कैसे रोकें?

मूल कारण: shell parse होने से पहले डेटा जुड़ता है

GitHub run चरण का shell शुरू करने से पहले expressions फैलाता है। अविश्वसनीय शीर्षक सीधे जोड़ने पर उसके अक्षर shell प्रोग्राम बदल सकते हैं। env: से मिला मान स्क्रिप्ट पाठ से अलग रहता है; उद्धरण में उसका विस्तार सामान्य कमांड का argument रहता है। फिर भी eval, दूसरे interpreter या argument को code मानने वाले tool में देना सुरक्षित नहीं है। GitHub event fields को हमलावर-नियंत्रित हो सकने वाला input मानता है।

# असुरक्षित: event data generated shell script का हिस्सा बनता है
name: Issue Triage
on:
  issues:
    types: [opened]

permissions:
  contents: read

jobs:
  triage:
    runs-on: ubuntu-latest
    steps:
      - name: Print issue title
        run: |
          printf 'Title: %s\n' "${{ github.event.issue.title }}"

# अधिक सुरक्षित: event मान environment से दें
name: Issue Triage
on:
  issues:
    types: [opened]

permissions:
  contents: read

jobs:
  triage:
    runs-on: ubuntu-latest
    steps:
      - name: Print issue title
        env:
          ISSUE_TITLE: ${{ github.event.issue.title }}
        run: |
          printf 'Title: %s\n' "$ISSUE_TITLE"

हमले का संक्षिप्त रास्ता

सुरक्षा जाँच-सूची

• ✓अविश्वसनीय github.event मानों को run: में सीधे न डालें। env: से दें और "$ISSUE_TITLE" जैसे विस्तार उद्धृत करें।
• ✓ऐसे मान eval, generated scripts, shell command strings और arguments को code या options मानने वाले tools से दूर रखें।
• ✓Workflow या job में सीमित permissions: रखें; लिखने का अधिकार केवल आवश्यक job को दें।
• ✓pull_request_target और workflow_run को विशेषाधिकार सीमा मानें। वहाँ अविश्वसनीय PR code या artifacts checkout, build या execute न करें।
• ✓अविश्वसनीय multiline data को GITHUB_ENV या GITHUB_PATH में न लिखें। GitHub GITHUB_* और RUNNER_* बदलने से रोकता है, लेकिन अन्य मान अगले चरणों को प्रभावित कर सकते हैं।
• ✓Third-party actions को जाँचे गए पूरे SHA पर pin करें, पृथक अस्थायी runners लें और Actions workflows पर CodeQL चालू करें।

प्राथमिक स्रोत

• GitHub Docs — Script injections
• GitHub Docs — Secure use reference
• GitHub Docs — pull_request_target का सुरक्षित उपयोग
• GitHub Docs — Workflow commands और GITHUB_ENV
• GitHub Docs — GITHUB_TOKEN अनुमतियाँ