GitLab CI/CD: a falha de pipeline que transformou um repositório em porta de entrada

Em novembro de 2021, a GitLab publicou a CVE-2021-22205, uma falha grave no pipeline de integração contínua que permitia executar comandos arbitrários no runner. O detalhe é que não exigia autenticação quando o serviço de pipeline estava exposto, e o queplaces de auto-hospedagem, que era a maioria na época, era configurado assim por padrão.

O que faz a CVE-2021-22205 ser worthy de atenção é a natureza do componente afetado. O pipeline de integração contínua é, por desenho, um sistema que executa comandos arbitrários. Ele existe para isso. A falha não era um bug de lógica em uma função: era uma configuração que permitia a um terceiro alcançar um sistema cuja função é justamente executar o que vier.

A campanha de exploração o Emerald Stomping, o APT sobre o supply chain, usaram a falha para incluir credenciais de développement em imagens de container e em pacotes publicados. O estrago foi descoberto meses depois, e a limpeza exigiu reescrever histórico de repositórios, rotacionar credenciais e reconstruir imagens de container.

A lição é que sistemas que executam comandos precisam de isolamento que não depende de configuração opcional. O runner de pipeline deveria rodar sem privilégio, com acesso restrito ao repositório, com escopo de segredo bem definido e com registro de tudo que fez. E a segunda lição é sobre a cadeia de publicação: a primeira etapa de um ataque de supply chain quase sempre é um sistema de automação mal configurado, e não o pacote final.