CodeRabbit Secure erweitert Deep Scan um Analysen mehrerer Repositorys

Sicherheitsrisiken können Repository-Grenzen überschreiten

Die Ankündigung von CodeRabbit konzentriert sich auf Sicherheitslücken, die sich nicht durch die Untersuchung eines einzelnen Repositorys bewerten lassen. In einer Microservices-Anwendung kann beispielsweise ein API-Gateway das Token eines Nutzers prüfen und dessen ID an einen Bestellservice weitergeben, während der Bestellservice Bestellungen anhand eines eingehenden x-user-id-Headers zurückgibt.

Ist der Bestellservice direkt erreichbar, könnte ein Aufrufer die ID einer anderen Person übermitteln. Um festzustellen, ob dieses Risiko tatsächlich besteht, müssen das Gateway, der Bestellservice und die sie verbindende Netzwerkkonfiguration untersucht werden. Nach Angaben von CodeRabbit soll die Analyse mehrerer Repositorys während eines Deep Scans diesen breiteren Kontext liefern.

So wählt Deep Scan verbundene Repositorys aus und nutzt sie

Vor Beginn eines Scans nutzt CodeRabbit Architekturzusammenfassungen und seine Funktion zur automatischen Verknüpfung, um Repositorys zu identifizieren, die nützlichen Kontext liefern könnten. Nach Angaben des Unternehmens kann ein Agent dadurch eine gemeinsam genutzte Bibliothek, ein Deployment-Chart oder eine andere eng verbundene Quelle finden, ohne jedes Repository einer Organisation in die Untersuchung einzubeziehen.

Teams können Repository-Verknüpfungen und den Zugriff auf Quellen konfigurieren. Während eines Scans können Agenten einem Konfigurationswert bis zu dem Code folgen, der ihn ausliest, eine gemeinsam genutzte Implementierung untersuchen oder Deployment-Einstellungen prüfen, die einen Befund beeinflussen. Die Bereitstellung eines Repositorys bedeutet nicht, dass jede Datei untersucht oder zitiert wird.

Das primäre Repository erhält die Bewertung des Deep Scans. Verknüpfte Repositorys liefern schreibgeschützten Kontext und erhalten durch diesen Scan weder eigene Befunde noch eine eigene Abdeckung. Um ein verknüpftes Repository selbst zu bewerten, müssen Nutzer einen separaten Scan ausführen. CodeRabbit zufolge wird die verknüpfte Quelle auf einen Commit im Standard-Branch des verknüpften Repositorys festgelegt. Dieser kann sich von der in einer bestimmten Umgebung eingesetzten Version unterscheiden.

Infrastrukturcode kann die Bedeutung eines Befunds verändern

CodeRabbit priorisiert nach eigenen Angaben Infrastructure-as-Code-Repositorys, weil der Servicecode allein möglicherweise nicht zeigt, ob ein Endpunkt außerhalb eines Clusters erreichbar ist. Load Balancer, Ingress-Einstellungen und die Deployment-Konfiguration können bestimmen, wie Datenverkehr eine Anwendung erreicht, während der Quellcode zeigt, wie die Anwendung darauf reagiert. Das Unternehmen weist darauf hin, dass weder Konfigurationsdateien noch Quellcode allein beweisen, welche Revision oder welche Einstellungen in einer bestimmten Umgebung ausgeführt werden.

Der Sicherheitsagent von Deep Scan arbeitet in drei Phasen: Recon, Hunt und Verify. Verknüpfte Quellen geben dem Agenten einen Ansatzpunkt für Untersuchungen, wenn die Belege außerhalb des primären Repositorys liegen. Während Recon kann er einen Konfigurationswert mit einer Implementierung verknüpfen. In Hunt und Verify kann er untersuchen, ob dieser Wert einen sensiblen Codepfad erreicht oder ob eine andere Komponente die Bedingungen hinter einem möglichen Befund verändert.

Tests verknüpften Zugangsdaten und Einstellungen mit dem Laufzeitverhalten

CodeRabbit testete die Funktion an Open-Source-Projekten, die Deployment-Charts, Container-Images und Anwendungscode voneinander trennen. In einem Experiment enthielt ein Snapshot eines Charts standardmäßige Administrator-Zugangsdaten. Der Startcode des zugehörigen Containers zeigte, dass die Werte bei einer Neuinstallation an den Installationsbefehl der Anwendung übergeben wurden, wodurch sich die genaue Bedingung für den Befund bestimmen ließ.

Nach Angaben von CodeRabbit nutzten wiederholte Scans mit automatischer Verknüpfung diese Bootstrap-Belege vollständig, während Scans ohne verknüpften Kontext diese Frage nur teilweise beantworteten. Eine separate Laufzeitprüfung ergab, dass eine Änderung des Umgebungswerts für das Bootstrap-Passwort das Passwort einer bestehenden Installation nicht änderte. Daher wertete das Unternehmen einen geänderten Startwert nicht als gleichbedeutend mit der Änderung des Passworts eines bereits erstellten Kontos.

In einem zweiten Experiment wurde untersucht, ob ein Aufrufer unter verschiedenen Konfigurationen einen Reload-Endpunkt aufrufen konnte. Der Agent folgte den Chart-Werten bis zu den Deployment-Flags und untersuchte anschließend Route und Handler im Laufzeit-Quellcode. In wiederholten Tests, bei denen das Laufzeit-Repository manuell bereitgestellt wurde, unterschied der Prüfer zwischen aktivierten und deaktivierten Konfigurationen. Mit ausschließlich dem Chart blieben beide Antworten ungeklärt.

Deep Scan kann verknüpfte Repositorys auf GitHub Cloud, GitHub Enterprise Server und GitLab Cloud nutzen. Im manuellen Modus liest die Funktion nur für den Quellzugriff ausgewählte Repositorys. Im automatischen Modus können geeignete verknüpfte Repositorys, einschließlich neu entdeckter Repositorys, bis zum Plan-Limit gelesen werden, solange die Quellenliste nicht angepasst wird. Befunde bleiben an das primäre Repository gebunden. Zitierte verknüpfte Quellen können jedoch das Repository, die Datei und den festgelegten Commit als Beleg angeben.