Уязвимост в Travis CI, водеща до изтичане на ключове от публични репозитории

В услугата за непрекъсната интеграция Travis CI, предназначена за тестване и компилиране на проекти, разработвани на GitHub и Bitbucket, беше открит проблем с безопасността (CVE-2021-41077), който позволява да се разкрие съдържанието на конфиденциални променливи на средата в публични репозитории, които използват Travis CI. Включително, уязвимостта позволява разкриването на ключовете, използвани в Travis CI за генериране на цифрови подписи, ключовете за достъп и токените за работа с API.

Проблемът е съществувал в Travis CI от 3 до 10 септември. Занимателно е, че информацията за уязвимостта беше предадена на разработчиците на 7 септември, но в отговор получихме само стандартна отговорност с препоръка за ротация на ключовете. Без адекватен отговор изследователите се свързаха с GitHub и предложиха да поставят Travis в черния списък. Проблемът беше решен едва на 10 септември след множество постъпили оплаквания от различни проекти. След инцидента на сайта на компанията Travis CI беше публикуван изключително странен доклад за проблема, в който вместо да бъде информирано за поправката на уязвимостта, беше включена само посочената извън контекста препоръка за циклична смяна на ключовете за достъп.

След възмущението от укритията на информация, изразени от няколко големи проекта, във форума за поддръжка на Travis CI беше публикуван по-подробен доклад, в който се предупреждаваше, че собственикът на форка на всяко публично репозиторио чрез изпращане на pull-запитване можеше да инициира процеса на компилиране и да получи неразрешен достъп до конфиденциални променливи на средата на изходния репозиторий, изложени по време на компилирането на базата на полета от файла „.travis.yml“ или определени чрез уеб интерфейса на Travis CI. Подобни променливи се съхраняват в криптиран вид и се разкодират само по време на компилирането. Проблемът се отнася само до публично достъпни репозитории с форкове (приватните репозитории не са уязвими за атаки).

Източник: opennet.ru