GitHub Workflow Auditor

Strumenti di audit dei workflow per identificare problemi di sicurezza nei workflow GitHub

Utilizzo

usage: main.py [-h] [--type {repo,org,user}] [--log-level {debug,info,warning,error,critical}] input

Identify vulnerabilities in GitHub Actions workflow

positional arguments:
  input                 User/Org Name or Repo name (owner/repo).

optional arguments:
  -h, --help            show this help message and exit
  --type {repo,org,user}
                        Type of entity that is being scanned.
  --log-level {debug,info,warning,error,critical}
                        Log level for output

Esempio:

• org - python3 main.py --type org google
• user - python3 main.py --type user test_user
• repo: python3 main.py --type repo TinderSec/gh-workflow-auditor

Configurazione

GitHub Workflow Auditor utilizza l'endpoint GraphQL di GitHub. Per questo motivo, è richiesto un token API. Il programma lo legge dalla variabile d'ambiente PAT. Puoi generare un token PAT di base (https://github.com/settings/tokens/new) senza alcuno scope. Nota che potresti dover "Configura SSO" perché il token sia utilizzabile su alcune organizzazioni.

export PAT=ghp_YOUR_TOKEN

Informazioni

GitHub Workflow Auditor identifica le vulnerabilità nei workflow di GitHub. Lo fa analizzando i file dei workflow alla ricerca di anti-pattern come l'utilizzo non sicuro degli input utente o l'uso di commit dannosi nel processo di build. Lo strumento supporta la scansione di singoli repository o di tutti i repository accessibili di un utente o di un'organizzazione. L'output della scansione viene salvato come scan.log.