octoscan

Octoscan ist ein statischer Schwachstellen-Scanner für GitHub-Action-Workflows.

Inhaltsverzeichnis

• Inhaltsverzeichnis
• Installation
• Verwendung
  • Remote-Workflows herunterladen
  • Analysieren
  • GitHub Action
• Regeln
  • dangerous-checkout
  • dangerous-action
  • dangerous-write
  • expression-injection
  • runner-label
  • repo-jacking
  • unsecure-commands
  • bot-check
  • known-vulnerability
  • dangerous-artefact
  • credentials
  • shellcheck
  • local-action
  • oidc-action
• Danksagungen
• Ressourcen

Installation

$ go mod tidy
$ go build

Oder mit Docker:

$ docker pull ghcr.io/synacktiv/octoscan:latest

Verwendung

Remote-Workflows herunterladen

Octoscan kann gegen ein lokales Git-Repository ausgeführt werden, oder Sie können alle Workflows mit der Aktion dl herunterladen:

$ octoscan dl -h  
Octoscan.

Usage:
	octoscan dl [options] --org <org> [--repo <repo> --token <pat> --default-branch --max-branches <num> --path <path> --output-dir <dir> --include-archives]

Options:
	-h, --help  						Show help
	-d, --debug  						Debug output
	--verbose  						Verbose output
	--org <org>  						Organizations to target
	--repo <repo>  						Repository to target
	--token <pat>  						GHP to authenticate to GitHub
	--default-branch  					Only download workflows from the default branch
	--max-branches <num>  					Limit the number of branches to download
	--path <path>  						GitHub file path to download [default: .github/workflows]
	--output-dir <dir>  					Output dir where to download files [default: octoscan-output]
	--include-archives  					Also download archived repositories

./octoscan dl --token ghp_<token> --org apache --repo incubator-answer

Analysieren

Wenn Sie nicht wissen, was Sie ausführen sollen, führen Sie einfach Folgendes aus:

./octoscan scan path/to/repos/ --disable-rules shellcheck,local-action --filter-triggers external

Das reduziert False Positives und liefert die interessantesten Ergebnisse.

Wenn Sie die Workflows mit dem Befehl dl heruntergeladen haben, können doppelte Workflows auftreten, da Octoscan standardmäßig alle Workflows aller Branches herunterlädt. Um doppelte Workflows zu löschen und die Analyse zu beschleunigen, können Sie den Befehl fdupes vor der Analyse ausführen:

fdupes -n -r -N -d path/to/repo

$ octoscan scan -h
octoscan

Usage:
	octoscan scan [options] --list-rules
	octoscan scan [options] <target>
	octoscan scan [options] <target> [--debug-rules --filter-triggers=<triggers> --filter-run --ignore=<pattern> ((--disable-rules | --enable-rules ) <rules>) --config-file <config>]

Options:
	-h, --help
	-v, --version
	-d, --debug
	--verbose
	--format <format>  				Output format, json, sarif or custom template to format error messages in Go template syntax. See https://github.com/rhysd/actionlint/tree/main/docs/usage.md#format
	--oneline 					Use one line per one error. Useful for reading error messages from programs

Args:
	<target>					Target File or directory to scan
	--filter-triggers <triggers>			Scan workflows with specific triggers (comma separated list: "push,pull_request_target" or pre-configured: external/allnopr)
	--filter-run					Search for expression injection only in run shell scripts.
	--ignore <pattern>				Regular expression matching to error messages you want to ignore.
	--disable-rules <rules>				Disable specific rules. Split on ","
	--enable-rules <rules>				Enable specific rules, this will disable all other rules. Split on ","
	--debug-rules					Enable debug rules.
	--config-file <config>				Config file.

Examples:
	$ octoscan scan ci.yml --disable-rules shellcheck,local-action --filter-triggers external

GitHub Action

Dieses Tool kann auch direkt als GitHub Action verwendet werden, um Ihr Repository bei push-/pull_request-Ereignissen zu scannen. Weitere Informationen finden Sie in diesem Repository.

Regeln

Die vollständige Liste der Regeln finden Sie mit diesem Befehl:

$ octoscan scan --list-rules  
2024/08/07 16:50:48 [INFO] Available rules
- shellcheck
	Checks for shell script sources in "run:" using shellcheck
- credentials
	Checks for credentials in "services:" configuration
- dangerous-action
	Check for dangerous actions.
- dangerous-checkout
	Check for dangerous checkout.
- expression-injection
	Check for expression injection.
- dangerous-write
	Check for dangerous write operation on $GITHUB_OUTPUT or $GITHUB_ENV.
- local-action
	Check for local actions.
- runner-label
	Checks for GitHub-hosted and preset self-hosted runner labels in "runs-on:"
- unsecure-commands
	Check 'ACTIONS_ALLOW_UNSECURE_COMMANDS' env variable.
- known-vulnerability
	Check for known vulnerabilities.
- bot-check
	Check for if statements that are based on a bot identity.
- dangerous-artefact
	Check for workflow that upload artefacts containing sensitive files.
- debug-external-trigger
	Check for workflow that can be externally triggered.
- debug-artefacts
	Check for workflow that upload artefacts.
- debug-js-exec
	Check for workflow that execute system commands in JS scripts.
- debug-oidc-action
	Check for OIDC actions.
- repo-jacking
	Verify that external actions are pointing to a valid GitHub user or organization.

dangerous-checkout

Trigger wie workflow_run oder pull_request_target laufen in einem privilegierten Kontext, da sie Lesezugriff auf Secrets und potenziell Schreibzugriff auf das Ziel-Repository haben. Wenn in einem solchen Kontext ein expliziter Checkout des nicht vertrauenswürdigen Codes durchgeführt wird, wird der Angreifercode in diesem Kontext heruntergeladen.

Beispiele

• FreeRDP
• Excalidraw
• AutoGPT
• Cypress
• Apache Doris
• Angular

dangerous-action

Diese Regel warnt den Benutzer, wenn eine gefährliche Action verwendet wird. Sie konzentriert sich hauptsächlich auf nicht vertrauenswürdige Artefakte.