✔️ Атака на CI/CD | Чужой pull request заставляет конвейер выдать все ключи
✔️ Атака на CI/CD | Чужой pull request заставляет конвейер выдать все ключи Poisoned Pipeline Execution – недооценённый класс атак, при котором взломщику не нужен доступ к серверу: он подсовывает вредоносный код в сам процесс сборки, а тот запускается с правами и секретами твоего проекта. Если конвейер выполняет присланный код с доступом к секретам, атакующий вытаскивает токены облаков и ключи публикации, а через собственный раннер ещё и закрепляется на узле. — В данной статье разберем три типа PPE, чем опасны сборки из форков и общие раннеры, как утекают секреты и почему помогает урезание прав встроенного токена, изоляция раннеров и ручное подтверждение форк-конвейеров. 🎤 Чтиво #CICD #GitHubActions #SupplyChain / White Hat / max.ru/kind_hack