V systému kontinuální integrace Travis CI, určeném pro testování a sestavování projektů vyvíjených na GitHubu a Bitbucketu, byla odhalena bezpečnostní chyba (CVE-2021-41077), která umožňuje získání obsahu důvěrných proměnných prostředí veřejných repozitářů využívajících Travis CI. Mezi jiným tato zranitelnost umožňuje zjistit klíče používané v Travis CI pro generování digitálních podpisů, přístupové klíče a tokeny pro volání API.
Problém byl v Travis CI přítomen od 3. do 10. září. Zajímavé je, že informace o zranitelnosti byly předány vývojářům 7. září, ale v odpovědi přišla pouze obvyklá doporučení ke změně klíčů. Bez patřičné zpětné vazby se výzkumníci obrátili na GitHub a navrhli zařadit Travis na černou listinu. Problém byl vyřešen až 10. září po velkém počtu stížností z různých projektů. Po incidentu byl na stránkách společnosti Travis CI publikován více než podivný zpráva o problému, ve které místo informování o opravě zranitelnosti existovalo pouze doporučení měnit přístupové klíče bez dalšího kontextu.
Po rozhořčení spojeném s utajováním informací, které vyjádřilo několik velkých projektů, bylo na fóru podpora Travis CI zveřejněno podrobnější zpráva, ve které bylo upozorněno, že vlastník jakéhokoli veřejného repozitáře prostřednictvím zasílání pull-requestu mohl iniciovat proces sestavení a získat neoprávněný přístup k důvěrným proměnným prostředí původního repozitáře, vystaveným během sestavení na základě polí ze souboru „.travis.yml“ nebo definovaným prostřednictvím webového rozhraní Travis CI. Takové proměnné jsou uloženy v zašifrované podobě a dešifrovány jsou pouze během sestavení. Problém se týkal pouze veřejně dostupných repozitářů, které mají fork (privátní repozitáře nejsou napadnutelné).
Zdroj: opennet.ru
