ট্র্যাভিস সিআই লিকিং পাবলিক রিপোজিটরি কীগুলির দুর্বলতা

একটি নিরাপত্তা সমস্যা (CVE-2021-41077) Travis CI ক্রমাগত ইন্টিগ্রেশন পরিষেবাতে চিহ্নিত করা হয়েছে, যা GitHub এবং Bitbucket-এ তৈরি করা প্রকল্পগুলি পরীক্ষা ও নির্মাণের জন্য ডিজাইন করা হয়েছে, যা আপনাকে ট্রাভিস ব্যবহার করে পাবলিক রিপোজিটরিগুলির গোপনীয় পরিবেশের ভেরিয়েবলের বিষয়বস্তু খুঁজে বের করতে দেয়। সি.আই. অন্যান্য জিনিসের মধ্যে, দুর্বলতা আপনাকে ট্র্যাভিস সিআই-এ ডিজিটাল স্বাক্ষর, অ্যাক্সেস কী এবং API অ্যাক্সেস করার জন্য টোকেন তৈরি করার জন্য ব্যবহৃত কীগুলি খুঁজে বের করার অনুমতি দেয়।

সমস্যাটি 3রা থেকে 10শে সেপ্টেম্বর পর্যন্ত ট্র্যাভিস সিআই-তে উপস্থিত ছিল৷ এটি উল্লেখযোগ্য যে দুর্বলতা সম্পর্কে তথ্য 7 সেপ্টেম্বর ডেভেলপারদের কাছে পাঠানো হয়েছিল, কিন্তু কী রোটেশন ব্যবহার করার সুপারিশের সাথে শুধুমাত্র একটি প্রতিক্রিয়া পাওয়া গেছে। সঠিক প্রতিক্রিয়া না পেয়ে, গবেষকরা গিটহাবের সাথে যোগাযোগ করেন এবং ট্রাভিসকে কালো তালিকাভুক্ত করার প্রস্তাব দেন। বিভিন্ন প্রকল্প থেকে বিপুল সংখ্যক অভিযোগ পাওয়ার পরেই 10 সেপ্টেম্বর সমস্যার সমাধান করা হয়েছিল। ঘটনার পরে, ট্র্যাভিস সিআই ওয়েবসাইটে একটি অদ্ভুত সমস্যা প্রতিবেদন প্রকাশিত হয়েছিল, যা দুর্বলতার সমাধান সম্পর্কে অবহিত করার পরিবর্তে, সাইকেল অ্যাক্সেস কীগুলির জন্য কেবলমাত্র একটি প্রসঙ্গ-প্রসঙ্গের বাইরের সুপারিশ রয়েছে।

বেশ কয়েকটি বড় প্রকল্পের দ্বারা তথ্য আটকে রাখায় ক্ষোভের পরে, ট্র্যাভিস সিআই সমর্থন ফোরামে একটি আরও বিশদ প্রতিবেদন পোস্ট করা হয়েছিল, সতর্ক করে দিয়েছিল যে কোনও পাবলিক রিপোজিটরির কাঁটা মালিক, একটি পুল অনুরোধ জমা দিয়ে, নির্মাণ প্রক্রিয়া শুরু করতে পারে এবং অননুমোদিত অ্যাক্সেস পেতে পারে। মূল সংগ্রহস্থলের গোপনীয় পরিবেশ ভেরিয়েবলে, ".travis.yml" ফাইলের ক্ষেত্রগুলির উপর ভিত্তি করে বা ট্র্যাভিস CI ওয়েব ইন্টারফেসের মাধ্যমে সংজ্ঞায়িত বিল্ড টাইমে সেট করা। এই ধরনের ভেরিয়েবল এনক্রিপ্ট করা আকারে সংরক্ষণ করা হয় এবং শুধুমাত্র বিল্ড টাইমে ডিক্রিপ্ট করা হয়। সমস্যাটি শুধুমাত্র সর্বজনীনভাবে অ্যাক্সেসযোগ্য সংগ্রহস্থলগুলিকে প্রভাবিত করেছে যেগুলিতে কাঁটা রয়েছে (ব্যক্তিগত সংগ্রহস্থলগুলি আক্রমণের বিষয় নয়)।

উত্স: opennet.ru