La security è un tema importante per tutto il ciclo di vita del software e delle nostre infrastrutture. Tuttavia, ciò che tendiamo ad ignorare è che anche le pipeline ormai sono scritte come codice e, pertanto, anch'esse sono a tutti gli effetti vulnerabili e soggette a potenziali attacchi. In quanto tali, vanno protette.
Analizziamo il seguente step di esempio:
- name: Check PR title run: | title="${{ github.event.pull_request.title }}" if [[ $title =~ ^ASPItalia ]]; then echo "Il titolo della PR inizia per 'ASPItalia'" else echo "Il titolo della PR non inizia per 'ASPItalia'" fi
Il codice sembra piuttosto banale: viene messo in esecuzione uno step che crea uno script bash da eseguire in linea. Come primo passaggio di questo script, viene assegnato alla variabile title il valore della proprietà title della pull request che ha scatenato l'esecuzione del workflow. Dopodichè, viene fatto un controllo per capire se la stringa inizia o no con la parola 'ASPItalia'.
Sebbene questo codice possa sembrare innocuo, non lo è affatto. Infatti, la sintassi "${{ }}", unita al fatto che lo script viene eseguito in linea, fa sì che il valore venga sostituito prima dell'esecuzione dello script, rendendoci vulnerabili a shell command injection. Se creiamo una PR con il titolo "a"; ls $GITHUB_WORKSPACE"", stiamo di fatto rimpiazzando il codice di prima con questo:
- name: Check PR title run: | title=""a"; ls $GITHUB_WORKSPACE""
In questo caso non viene eseguito niente di malevolo in quanto viene solo stampata la lista dei file disponibili nella root del repository, ma è evidente che può essere sfruttato per altri scopi. Se questo codice fosse eseguito in un self-hosted agent/runner, potremmo eliminare tutti i file del file-system o accedere a dati sensibili e farne una copia in una location remota.
Per fortuna la risoluzione è piuttosto semplice e, in questo caso, ci sono due valide opzioni. Seguendo la prima strada, possiamo creare una composite action, mentre l'alternativa è di passare il valore come variabile d'ambiente:
- name: Check PR title env: TITLE: ${{ github.event.pull_request.title }} run: | if [[ "$TITLE" =~ ^ASPItalia ]]; then echo "Il titolo della PR inizia per 'ASPItalia'" fi
In questo modo la valutazione del valore verrà fatto in-memory e assegnato alla variabile correttamente (di fatto, stiamo eliminando i doppi apici).
Commenti
Per inserire un commento, devi avere un account.
Fai il login e torna a questa pagina, oppure registrati alla nostra community.
Approfondimenti
Usare una container image come runner di GitHub Actions
Utilizzare Tailwind CSS all'interno di React: installazione
Eseguire una query su SQL Azure tramite un workflow di GitHub
Creare una custom property in GitHub
Eseguire query manipolando le liste contenute in un oggetto mappato verso una colonna JSON
Gestire il colore CSS con HWB
Disabilitare automaticamente un workflow di GitHub (parte 2)
Aprire una finestra di dialogo per selezionare una directory in WPF e .NET 8
Utilizzare Azure AI Studio per testare i modelli AI
Modificare i metadati nell'head dell'HTML di una Blazor Web App
Sostituire la GitHub Action di login su private registry