谁动了我的DevOps:DevOps风险测绘

一、DevOps概述

1.1 什么是DevOps?

DevOps 是 Development 和 Operations 组合的缩写词,它指的是一种协作方法,使企业的应用程序开发团队(Development team)和 IT 运营团队(Operations team)能够更好地沟通工作,DevOps的概念有助于使技术项目与业务需求保持一致,从而提高企业整体的工作效率 [1]。

1.2 DevOps的价值

DevOps通过自动化“软件交付”和“架构变更”的流程,使得构建、测试、发布软件能够更加快捷、频繁和可靠[2]。DevOps市场价值更是潜力无限,据GMI(Global Market Insights) 的调查报告显示[3](如图一):“DevOps 市场规模在 2019 年已超过 40 亿美元,并有望在 2020 年至 2026 年间以超过 20% 的复合年增长率增长。”由此可见,DevOps全球化、普遍化的趋势已经不可阻挡,企业大规模敏捷开发转型将成为主流旋律。

图1 DevOps市场的价值

1.3 DevOps的常用工具

那么DevOps流程具体会涉及到哪些工具呢?笔者通过分析2021年多个平台公布的DevOps工具的排名[4][5][6][7],为大家总结了18款常用的DevOps工具。

项目管理和协作工具:Microsoft teams, Slack, JIRA

代码管理工具:BitBucket, GitLab, Github

持续集成工具:Jenkins

质量测试工具:Junit, Selenium,DATADOG

监控管理工具:New Relic, Grafana

持续部署工具:Octopus Deploy, Spinnaker

配置管理工具:Chef, Ansible, Puppet,Terraform

结合图2,可以更清晰的了解到DevOps整个生命周期流程和各个工具在其中所充当的角色。

图2 DevOps 流程示意图

二、DevOps潜在的风险

DevOps被越来越多企业接纳的同时,DevOps工具的风险也越发突出。笔者获取了部分常用DevOps工具的指纹,利用网络搜索引擎对这些工具在2021年12月国内的暴露量进行了调研。得到的具体暴露数据如表1所示:

工具名称暴露资产数
Jenkins16226
GitLab9035
Github538
Chef12
Datadog11
Spinnaker8
Terraform4
Octopus Deploy2
表1 DevOps 工具国内暴露资产数

由此可见,DevOps工具暴露量相当之多,其中Jenkins和GitLab资产的暴露量尤为突出, 那么它们背后潜在的风险又究竟是什么情况?笔者具体对GitLab和Jenkins两个资产进行了资产风险测绘的研究。

三、GitLab资产风险测绘

3.1 GitLab简介

GitLab是一个结合了在单个应用程序中开发、保护和操作软件能力的DevOps 平台。GitLab最初是作为源代码管理解决方案在软件开发团队内进行协作,后来演变为涵盖整个 DevOps 生命周期的集成解决方案,其注册用户已超过3000万人次 [8]

3.2 GitLab国内资产暴露情况

根据网络测绘数据,我们对2021年12月国内GitLab资产暴露情况进行了统计,共计查询到9035个暴露的资产,下面将从地区分布、暴露端口两个维度分别进行介绍。

如图3所示,国内暴露的GitLab资产中约73.6%来源于北京市、上海市、广东省和浙江省这些一线省份和城市,其中北京市稳居第一,暴露资产数达到2566个。

图3 GitLab国内暴露资产分布图(地区维度)

从图4可见,国内暴露的GitLab资产使用的端口主要为443、8888、8090、8081和80,共占总数的69.5%,其中443端口暴露量最多,共计3201个,占比35.4%。

图4 GitLab国内暴露资产分布图(端口维度)

3.3 GitLab国内资产漏洞分析

GitLab会在自己的官网不定期公布自己存在的CVE漏洞。我们梳理了2020到2021年 CVSS Version3.x 评分高于或等于7分的GitLab漏洞,共计有86个,且其中9分以上漏洞多达20个,频率较多的漏洞类型有:DDOS,SSRF,未授权,信息泄露等。

由此可见GitLab资产存在较大的安全隐患,接下来,我们以2021年的两个漏洞CVE-2021-22205(RCE漏洞)和CVE-2021-22214(SSRF漏洞)为例进行分析。

3.3.1  CVE-2021-22205漏洞

GitLab CVE-2021-22205属于RCE类型漏洞,其影响版本范围包括GitLab社区版和企业版:11.9.0 ≤ 版本号 ≤ 13.8.8 ; 13.9.0 ≤ 版本号 ≤ 13.9.6 ; 13.10.0 ≤ 版本号 ≤ 13.10.3。 这个漏洞源于GitLab 没有正确验证传递给文件解析器的图像文件,这个疏忽导致了远程命令执行漏洞的可能性。

如图6所示,我们共发现了1051个暴露的GitLab资产存在CVE-2021-22205漏洞,约占暴露资产总数的11.6%,CVE-2021-22205属于远程命令执行漏洞,其在CVSS Version3.x中评分高达9.8,可见其危害程度之大。

3.3.2  CVE-2021-22214漏洞

GitLab CVE-2021-22214属于SSRF类型漏洞,其影响版本范围包括GitLab社区版和企业版:

10.5 ≤ 版本号 ≤ 13.10.5 ; 13.11 ≤ 版本号 ≤ 13.11.5 ; 13.12 ≤ 版本号 ≤ 13.12.2。当启用对内部网络的 webhook 请求时,请求伪造漏洞可能被未经身份验证的攻击者利用(包括注册受限的 GitLab)。

如图6所示,我们共发现了841个暴露的GitLab资产存在CVE-2021-22214漏洞,约占暴露资产总数的9.3%,CVE-2021-22214在CVSS Version3.x评分中达到8.6分,其危害程度也不可小觑。示例,CVE-2021-22214漏洞本地环境测试情况见图5。

图5 指定域名被目标访问(本地环境测试)
图6 暴露的GitLab中存在CVE-2021-22205, CVE-2021-22214的数量

3.4 GitLab的安全建议

从以上的分析我们可以看到,国内GitLab资产漏洞层出不穷。如利用CVE-2021-22205,不法分子可以轻松拿到reverse shell,从而实现任意代码执行,轻松地盗取个人和企业的隐私信息。笔者在这里建议:

  1. 请尽快将GitLab资产升级到最新版本
  2. 在使用GitLab时,尽量监听在内网IP地址,避免直接暴露在互联网中
  3. 根据官方提供的缓解措施进行临时缓解,GitLab相关的漏洞缓解措施可参考官方网址:  https://gitlab.com/gitlab-org/cves

四、Jenkins资产风险测绘

4.1 Jenkins简介

Jenkins是一个独立的开源自动化服务器,是一款提供友好操作界面的持续集成(CI)的工具,可用于自动化各种任务,如构建,测试和部署软件等。在cprime公布的CI集成工具排名中[9],Jenkins排名第一,它也被多个机构评定为DevOps流程中最受欢迎的持续集成工具。

4.2 Jenkins国内资产暴露情况

根据我们的网络测绘数据,我们对2021年12月国内Jenkins资产暴露情况进行了统计,共计查询到16226个暴露的资产,且笔者发现部分暴露的Jenkins资产可以直接跳过登录,进入到操作界面,这样的危险不言而喻,示例如下图7,8所示。

图7 Jenkins暴露示例1
图8 Jenkins暴露示例2

此外我们将从地区分布、暴露端口、版本三个维度分别对Jenkins国内资产暴露情况进行介绍。

如下图图9所示,国内暴露的Jenkins资产中约77%来源于北京市、广东省、上海市和浙江省这些一线省份和城市,其中北京市稳居第一,暴露资产数达到4253个。

图9 Jenkins国内暴露资产分布图(地区维度)

从图10可见,国内暴露的Jenkins资产使用的端口主要为8080、8081、8888、443、9090,共占总数的84%,其中8080端口最多,存在9523个,占比58.7%。

图10 Jenkins国内暴露资产分布图(端口维度)

通过特定的指纹信息,我们也获取到了国内暴露的Jenkins资产的版本号。经过匹配,可以获取到10334个资产的版本号信息,大约占总数的63.7%,具体版本号分布如图11所示。

图11 Jenkins国内暴露资产分布图(版本号)

4.3 Jenkins国内资产漏洞分析

与GitLab类似,笔者梳理了2020到2021年 CVSS Version3.x 评分大于或等于7分的Jenkins漏洞。在包括Jenkins插件漏洞信息中,共计发现了96个高危(评分大于或等于7)的CVE,频率较多的漏洞类型包括:XXE,CSRF,SSRF,未授权,信息泄露,RCE等。

为了进一步分析主版本漏洞对Jenkins资产的影响,在排除了Jenkins插件漏洞信息之后,共计筛选出了18个高危的CVE,依次是:CVE-2021-21685,CVE-2021-21686,CVE-2021-21687,CVE-2021-21688,CVE-2021-21688,CVE-2021-21690,CVE-2021-21691,CVE-2021-21692,CVE-2021-21693,CVE-2021-21694,CVE-2021-21695,CVE-2021-21696,CVE-2021-21697,CVE-2021-21671,CVE-2021-21604,CVE-2021-21605,CVE-2020-2160,CVE-2020-2099。

不难看出,2021年Jenkins主版本CVE漏洞较2020年爆发性增长了许多。为了进一步查看脆弱性暴露情况,笔者对暴露的Jenkins资产进行了静态匹配,如下图12所示:

图12 Jenkins暴露资产脆弱性

从图中可以看到,暴露资产中CVE-2021-21685到CVE-2021-21697的数量多达9582个,而我们可获取到的版本号的总量也才10334个。为了进一步分析影响面,制作了以下表格(如表2所示),我们可以看到多半的CVE影响面达到了惊人的92.7%,可见暴露的Jenkins资产,其脆弱性风险乃是极其之大,Jenkins存在着严重的安全问题。

CVE  IDCVSS 3.0影响资产数影响面
CVE-2021-216859.1958292.7%
CVE-2021-216868.1958292.7%
CVE-2021-216879.1958292.7%
CVE-2021-216887.5958292.7%
CVE-2021-216899.1958292.7%
CVE-2021-216909.8958292.7%
CVE-2021-216919.8958292.7%
CVE-2021-216929.8958292.7%
CVE-2021-216939.8958292.7%
CVE-2021-216949.8958292.7%
CVE-2021-216958.8958292.7%
CVE-2021-216969.8958292.7%
CVE-2021-216979.1958292.7%
CVE-2021-216717.5857683%
CVE-2021-216048.0 566654.8%
CVE-2021-216058.0 566654.8%
CVE-2020-21608.8295328.6%
CVE-2020-20998.6228322.1%
表2 Jenkins暴露资产脆弱性影响面

4.4 Jenkins的安全建议

经过上文的分析,我们可以感受到国内Jenkins资产暴露数量不少,且暴露的资产中普遍存在严重的脆弱性问题,其中有13个CVE影响面高达92.7%,且10个CVE评分超过9分(严重高危)。笔者在这里建议:

  1. 请尽快将Jenkins资产升级到最新版本
  2. 在使用Jenkins时,尽量将相关端口监听在内网IP地址,避免直接暴露在互联网中
  3. 根据官方提供的缓解措施进行临时缓解,Jenkins相关的漏洞缓解措施可参考官方网址:  https://www.jenkins.io/security/advisory/

五、总结

随着DevOps敏捷开发流程被越来越多的人和机构认可,DevOps全球化和普及化将成为一股不可阻挡的趋势。但DevOps越来越潮流的同时也带来了很多的风险,通过上文的分析,我们可以看见GitLab和Jenkins漏洞百出,脆弱性问题不容小视。当大家享受DevOps敏捷化带来红利的同时,或许你的DevOps工具早已被不法分子所利用。上文给出了部分DevOps工具防范的方法,但对于云上风险来说,这仅仅是冰山一角,无论个人还是企业,我们都应该引起重视,加以防范,一同维护好国内网络安全环境。

如有兴趣了解更多的网络测绘及云上风险发现相关的研究,请关注即将发布的《2021网络空间测绘年报》。

参考文献

  1. https://www.digite.com/blog/introduction-to-devops/
  2. https://zh.m.wikipedia.org/wiki/DevOps
  3. https://www.gminsights.com/industry-analysis/devops-market
  4. https://www.kubernetes.org.cn/9538.html
  5. https://www.opsera.io/blog/top-25-devops-tools-that-you-need-to-know
  6. https://dzone.com/articles/50-useful-devops-tools
  7. https://dzone.com/articles/the-devops-toolchain
  8. https://en.wikipedia.org/wiki/GitLab
  9. https://cprimestudios.com/blog/top-cicd-tools-2021-most-complete-guide-33-best-picks-devops

版权声明

本站“技术博客”所有内容的版权持有者为绿盟科技集团股份有限公司(“绿盟科技”)。作为分享技术资讯的平台,绿盟科技期待与广大用户互动交流,并欢迎在标明出处(绿盟科技-技术博客)及网址的情形下,全文转发。
上述情形之外的任何使用形式,均需提前向绿盟科技(010-68438880-5462)申请版权授权。如擅自使用,绿盟科技保留追责权利。同时,如因擅自使用博客内容引发法律纠纷,由使用者自行承担全部法律责任,与绿盟科技无关。

Spread the word. Share this post!

Meet The Author

Leave Comment