Falco Actions を用いた tj-actions/changed-files

tj-actions/changed-file のペイロードを検知する

報告されているとおりこちらのとおり、侵害された GitHub Personal Access Token を通じてペイロードがリポジトリに持ち込まれました。リポジトリへのアクセスを得た攻撃者は、市販のペイロード（memdump.py）を使用して Runner.Worker プロセスのメモリに含まれるシークレットを窃取しました。これは proc ファイルシステムを利用して次を行います:

• Runner.Worker の PID を特定します。Runner.Worker は GitHub Actions ワークフローのジョブを実行するアプリケーションのプロセスです。このプロセスが重要なのは、ワークフローが必要とするあらゆるシークレットがここに渡されるためです。
• /proc/{pid}/maps を確認し、どの仮想メモリアドレスに読み取り権限があるかを把握します。
• /proc/{pid}/mem を開き、読み取り可能な各メモリ領域を反復処理します。次にスクリプトが正規表現を用いて内容を標準出力にダンプします。出力は後で grep コマンドにパイプされ、GITHUB_TOKEN やその他のユーザー定義シークレットなど、特定のシークレットを探します。 

これらの操作は、意味のある検知ルールを書く余地を多く残します。falco-actions プロジェクトはこのような脅威に対処するために作られているため、/proc/{pid}/mem を使用して別プロセスのメモリへアクセスすることを検知するルールがすでに含まれています。

- rule: Process Dumping Memory of Others

desc: >

    Detect a process dumping memory of other processes. Sensitive information can be stored in memory, and this could be a step prior to exfiltration.

condition: >

    open_read and fd.name startswith "/proc/" and fd.name endswith "/mem" and not fd.name contains "/self/"
output: A process %proc.name with pid %proc.pid is dumping memory of other processes (file=%fd.name process=%proc.name proc_exepath=%proc.exepath gparent=%proc.aname[2] ggparent=%proc.aname[3] gggparent=%proc.aname[4] command=%proc.cmdline terminal=%proc.tty container_image=%container.image.repository)

priority: WARNING

tags: [CI/CD]

Falco Actions が救う

Falco Actions は、任意の GitHub ワークフローに組み込んで、各ワークフロー実行中にランタイムで何が起きているかを追跡できます。

このアクションは、start と stop のアクションを定義するだけでワークフローに組み込めます。以下の例は、脆弱なバージョンの tj-actions/changed-files を使用するワークフローで Falco Action を利用する方法を示しています。

- name: Start Falco

uses: falcosecurity/falco-actions/start@f67ddcc4b202aae0ab3d7194159c9c947ae77791

with:

          mode: live
          falco-version: '0.39.0'
verbose: true
      - name: List all changed files
env:

          ALL_CHANGED_FILES: ${{ steps.changed-files.outputs.all_changed_files }}
run: |

for file in ${ALL_CHANGED_FILES}; do
            echo "$file was changed"
          done
     - name: Get changed files
id: changed-files

uses: trmlabs/changed-files@eb3c72d826fc4f9a9af40679c867cfdcf2e88012 # vulnerable version

      - name: Read Sensitive File
run: |

          sleep 3
          docker run --rm --privileged ubuntu cat /etc/shadow
     - name: Stop Falco
uses: falcosecurity/falco-actions/stop@f67ddcc4b202aae0ab3d7194159c9c947ae77791

with:

         mode: live
verbose: true

ワークフロー実行の最後に、実行中にトリガーされた Falco イベントを含むレポートが生成されます。以下のスクリーンショットにあるとおり、Falco は memdump.py スクリプトを用いて認証情報をダンプしようとしたエクスプロイトの実行を検知しました。 

Falco Action は、どのワークフローステップでルールがトリガーされたかも特定できます。これにより、調査活動と是正対応が簡素化されます。

結論

tj-actions/changed-files の GitHub Action 脆弱性は、CI/CD 環境におけるサプライチェーン攻撃のリスクが高まっていることを示す、最新の例にすぎません。攻撃の仕組みを理解し、Falco Actions のようなランタイムセキュリティ制御を用いてワークフローを保護し、迅速に是正することで、組織は潜在的な被害を軽減し、機微なデータを守ることができます。