🔒Открыть пост
и посмотреть медиа
и посмотреть медиа
Токен из Docker-образа дал админку в репозиториях Baseten
Команда Strix просканировала домены Baseten и за 25 минут нашла живой GitHub-токен. Он лежал в конфиге публичного образа из открытого Harbor-реестра и работал с марта 2023 года.
Токен принадлежал боту basetenbot и давал админ-права на основной репозиторий продукта и GitOps-репозиторий кластеров. Плюс чтение и запись в приватные репозитории, включая отдельные проекты клиентов.
Подвох в том, что секрет был не в файлах, а в истории сборки образа. Удалить файл с ключом мало — поле history[].created_by хранит команду RUN целиком.
🔗 Подробнее
@nuancesprog #Security #Docker