I Travis CI, service til kontinuerlig integration designet til test og bygning af projekter udviklet på GitHub og Bitbucket, er der blevet opdaget et sikkerhedsproblem (CVE-2021-41077), der gør det muligt at få adgang til indholdet af fortrolige miljøvariabler fra offentlige repositories, der bruger Travis CI. Sårbarheden gør det også muligt at få kendskab til nøgler, der anvendes i Travis CI til generering af digitale signaturer, adgangsnøgler og tokens til API-kald.
Problemet har været til stede i Travis CI fra den 3. til den 10. september. Bemærkelsesværdigt er det, at information om sårbarheden blev givet til udviklerne den 7. september, men der blev kun modtaget en standardbesked med anbefaling om at rotere nøgler. Uden den rette feedback kontaktede forskerne GitHub og foreslog at sætte Travis på en sortliste. Problemet blev først løst den 10. september efter et stort antal klager fra forskellige projekter. Efter hændelsen blev der offentliggjort en mere end mærkelig rapport om problemet på Travis CIs hjemmeside, hvor der i stedet for at informere om reparationen af sårbarheden kun fremgik den kontekstløse anbefaling om løbende at ændre adgangsnøgler.
Efter vrede over skjult information udtrykt af flere større projekter, blev der offentliggjort en mere detaljeret rapport på Travis CIs supportforum, der advarede om, at ejeren af en hvilken som helst offentlig repository fork kunne initiere byggeprocessen ved at sende en pull-anmodning og opnå uautoriseret adgang til fortrolige miljøvariabler fra den oprindelige repository, der udstilles under bygningen baseret på felterne i filen ".travis.yml" eller defineret via Travis CIs webgrænseflade. Sådanne variabler opbevares krypteret og dekrypteres kun under bygningen. Problemet vedrørte kun offentligt tilgængelige repositories, der har forks (private repositories er ikke udsat for angreb).
Kilde: opennet.ru
