hunting-cicd-workflow-injection

在触发器和令牌范围解析后，针对攻击者控制的仓库数据到达特权执行上下文的 CI/CD 流水线进行狩猎。涵盖以下场景：将不受信任的事件字段（如议题或拉取请求标题、分支名称、提交信息）直接插值到运行步骤的 shell 命令中；使用 pull_request_target 或 workflow_run 作业检出并构建具有作用域内机密的拉取请求头；第三方操作固定到可变标签或分支而非提交摘要；低信任度作业写入缓存，而特权作业恢复并执行该缓存；自托管运行器可从分叉仓库的拉取请求访问；以及过度宽泛的流水线令牌扩大了影响范围。适用于审查工作流定义、其触发器及其令牌权限的场景，但不涉及 CI OIDC 技能所拥有的 OIDC 信任边界。攻击者控制的仓库数据是源头，特权流水线运行步骤或检出是汇聚点，不受信任输入到达执行环节即为漏洞。

存档时间线

版本索引永久保留；内容副本只保留最新 1 份，更早版本仅留索引与哈希（存档时间线的证据链不会因此断裂）。

下载存档内容副本

相关资产