Společnost Aqua Security zveřejnila výsledky výzkumu přítomnosti citlivých údajů ve stavebních logech, které jsou veřejně dostupné v systému kontinuální integrace Travis CI. Výzkumníci našli způsob, jak extrahovat 770 milionů logů různých projektů. Při testovacím nahrávání 8 milionů logů bylo v získaných datech zjištěno přibližně 73 tisíc tokenů, uživatelských údajů a přístupových klíčů spojených s různými populárními službami, včetně GitHub, AWS a Docker Hub. Získané informace umožňují kompromitovat infrastrukturu mnoha otevřených projektů; podobná únik nedávno vedla k útoku na infrastrukturu projektu NPM.
Únik je spojen s možností získání přístupu k logům uživatelů bezplatné služby Travis CI přes standardní API (například, stavební log lze stáhnout prostřednictvím URL ve tvaru „https://api.travis-ci.org/v3/job/5248126/log.txt“, kde číslo 5248126 je identifikátor logu). Pro určení rozsahu možných identifikátorů logů bylo použito další API („https://api.travis-ci.org/logs/6976822“), které zajišťovalo přesměrování na stažení logu podle pořadového čísla. Metodou pokusu a omylu se během výzkumu podařilo bez autentifikace zjistit přibližně 770 milionů logů vytvořených od roku 2013 do května 2022 během sestavení projektů, které spadají pod bezplatný tarif.
Analýza testovací vzorky ukázala, že v mnoha případech se v logu otevřeně odrážejí přístupové parametry k repozitářům, API a úložištím, dostatečné pro přístup k privátním repozitářům, provádění změn v kódu nebo připojení k cloudovým prostředím používaným v infrastruktuře. Například v logech byly nalezeny tokeny pro připojení k repozitářům na GitHubu, hesla pro ukládání sestavení v Docker Hubu, klíče pro přístup k prostředím Amazon Web Services (AWS), a parametry pro připojení k databázím MySQL a PostgreSQL.
Je zajímavé, že podobné úniky přes API byly zaregistrovány výzkumníky v letech 2015 a 2019. Po předchozích incidentech společnost Travis přidala určitá omezení, aby ztížila hromadné stahování dat, a omezila přístup k API, ale tato omezení se podařilo obejít. Kromě toho společnost Travis uskutečnila pokus o odstranění citlivých údajů z logů, avšak tato data byla vymazána pouze částečně.
Únik se především dotkl uživatelů otevřených projektů, kterým Travis poskytuje bezplatný přístup ke své službě kontinuální integrace. Při kontrole provedené některými poskytovateli služeb bylo potvrzeno, že přibližně polovina ze získaných tokenů a klíčů z logů zůstává funkční. Všem uživatelům bezplatné verze služby Travis CI se doporučuje urgentně změnit přístupové klíče, nastavit odstranění logů sestavení a zkontrolovat, zda v logu nedochází k výstupu citlivých údajů.
Zdroj: opennet.ru
