Assicurazione dal codice al cloud.

Prodotto di punta

VibeDefend

Impara le regole del tuo progetto, controlla ogni prompt e fa scrivere all'agente codice sicuro fin dall'inizio.

Scopri VibeDefend

Agenti AI

Scanner

Governance

Vedi la piattaforma completa

Sviluppatori

Risorse

Ricerca

Le tue pipeline sono codice. Quindi le leggiamo.

Analisi statica dei tuoi file di workflow. Injection, action non pinnate, token con troppi privilegi, drift della configurazione OIDC.

Prenota una demo di 30 min

commita3f9c2e · release.yml

build#4821 · #4822

gate CybeDefendrelease.yml read

deployprod-eu

bloccatapull_request_target · contents: writein produzioneuses: @7a3c…e4f · contents: read

commita3f9c2e · release.yml

build#4821 · #4822

gate CybeDefendrelease.yml read

deployprod-eu

bloccatapull_request_target · contents: writein produzioneuses: @7a3c…e4f · contents: read

Sei dialetti CI alimentano un solo parser: GitHub Actions, GitLab CI, Bitbucket, Azure DevOps, Jenkins, CircleCI.Il commit a3f9c2e modifica release.yml. Dalla build partono due run: #4821 e #4822.Al gate, release.yml viene letto come lo leggerebbe un attaccante: trigger, permessi, ogni uses: e run:.#4821 è bloccata: pull_request_target con contents: write e un'action non pinnata non arrivano mai al job di deploy.#4822 va in prod-eu: SHA pinnato, token in sola lettura, il titolo della PR tenuto fuori dalla shell.

Sei falle di pipeline,
trovate nel file.

Convertiamo i tuoi workflow in un AST e in un grafo del flusso dei dati, poi applichiamo i nostri rule pack.

Per impostazione predefinita il GITHUB_TOKEN ha permessi write su quasi tutto. Rileviamo permissions: non impostati e scope troppo ampi che non usi, e suggeriamo il set minimo per ogni job.

permissions: write-all

permissions:

contents: read

id-token: write

PR non fidate che scrivono in cache lette da branch protetti. Riuso di self-hosted runner senza isolamento.

runs-on: self-hosted

runs-on: ubuntu-24.04

@v3, @main, @latest: ogni riferimento mobile è un futuro incidente di supply chain.

uses: actions/checkout@v3

uses: actions/checkout@11bd71901bbe5b1630ceea73d27597364c9af683 # v4.2.2

Identità federata AWS, Azure e GCP da GitHub, GitLab e CircleCI.

role/deploy › trust policy › sub

repo:acme/*

repo:acme/api:environment:production

Ogni volta che inserisci ${{ github.event.* }}, nomi di branch, titoli di PR o il testo delle issue in un blocco run:, esponi la tua stessa pipeline alla shell injection.

run: echo "${{ github.event.pull_request.title }}"

env:

TITLE: ${{ github.event.pull_request.title }}

run: echo "$TITLE"

echo $SECRET, secret passati come argomenti posizionali, secret loggati negli artefatti, secret incorporati nei layer del container.

run: ./publish.sh ${{ secrets.NPM_TOKEN }}

env:

NPM_TOKEN: ${{ secrets.NPM_TOKEN }}

run: ./publish.sh

Passa il mouse su una riga segnalata per vedere la correzione.Tocca una nota per vedere la correzione.

Intercetta la misconfig
prima che il runner giri.

La maggior parte degli incidenti di pipeline è già visibile nello YAML. Lo leggiamo come lo legge un attaccante.

.github/workflows/release.yml:12source
message: ${{ github.event.pull_request.title }}
.github/workflows/notify.yml:4hop
message: { type: string }
.github/workflows/notify.yml:10sink
run: echo "${{ inputs.message }}"

cybedefendcommented onnotify.yml:10

pull_request.title reaches run: through inputs.message.

run: echo "${{ inputs.message }}"

env: { MSG: "${{ inputs.message }}" }

run: echo "$MSG"

I file di workflow vengono analizzati con lo stesso rigore del tuo codice applicativo: parsing dell'AST, propagazione del taint, analisi da source a sink.