Cloud Build exécute chaque build en tant que compte de service Cloud Build (<project-number>@cloudbuild.gserviceaccount.com), qui, par défaut, s'est historiquement vu accorder le rôle Editor du projet. Quiconque peut lancer un build, ou déposer un déclencheur qui en lance un, exécute donc des étapes arbitraires en tant que principal quasi administrateur. Cela fait de Cloud Build l'une des plus fortes surfaces d'élévation de privilèges et de persistance de GCP.
Pages#
- Compte de service de build : lancer un build dont les étapes exfiltrent le jeton du compte de service de build et agissent avec ses rôles.
- Déclencheurs de build : déposer ou modifier des déclencheurs de dépôt pour que les pushs exécutent des étapes de l'attaquant en tant que compte de service de build.