Aqua Security har offentliggjort resultaterne af en undersøgelse om tilstedeværelsen af følsomme data i build-logs, der er offentligt tilgængelige i det kontinuerlige integrationssystem Travis CI. Forskere fandt en måde at udtrække 770 millioner logs fra forskellige projekter. Ved at teste med en upload af 8 millioner logs blev der i de indsamlede data identificeret cirka 73.000 tokens, brugerkonti og adgangsnøgler relateret til forskellige populære tjenester, herunder GitHub, AWS og Docker Hub. Den identificerede information kan kompromittere infrastrukturen for mange open source-projekter; for eksempel førte en lignende lækage for nylig til et angreb på infrastrukturen af NPM-projektet.
Lækagen relaterer sig til muligheden for at få adgang til logs fra brugere af den gratis service Travis CI gennem den indbyggede API (for eksempel kan en build-log downloades via en URL som ‘https://api.travis-ci.org/v3/job/5248126/log.txt’, hvor tallet 5248126 er log-identifikatoren). For at fastslå spændet af mulige log-identifikatorer blev en anden API (‘https://api.travis-ci.org/logs/6976822’), der muliggør omdirigering til download af loggen efter rækkefølge, anvendt. Ved systematisk at undersøge kunne forskerne uden autentificering identificere omkring 770 millioner logs, der blev oprettet fra 2013 til maj 2022 i forbindelse med bygning af projekter, der falder ind under den gratis abonnementsplan.
Analysen af det testede udvalg viste, at adgangsparametre til repositories, API'er og lagre ofte i åbent format fremgår i loggen, hvilket er tilstrækkeligt til at få adgang til private repositories, lave ændringer i koden eller oprette forbindelse til cloud-miljøer, der anvendes i infrastrukturen. For eksempel blev der i logs fundet tokens til opkobling til repositories i GitHub, adgangskoder til hosting af builds i Docker Hub, nøgler til adgang til Amazon Web Services (AWS) miljøer, samt tilslutningsparametre til MySQL og PostgreSQL databasesystemer.
Bemærkelsesværdigt er, at lignende lækager gennem API'er blev registreret af forskere i 2015 og 2019. Efter tidligere hændelser tilføjede Travis visse restriktioner for at vanskeliggøre masse-download af data og begrænsede adgangen til API'en, men disse restriktioner blev omgået. Derudover gjorde Travis et forsøg på at rense følsomme data i loggene, men dataene blev kun delvist renset.
Data breaches mainly affected users of open projects who are granted free access to Travis's continuous integration service. During a review conducted by some service providers, it was confirmed that about half of the tokens and keys extracted from the logs remain active. All users of the free version of the Travis CI service are urgently advised to change their access keys, as well as to configure the deletion of build logs and ensure that no confidential data is output in the logs.
Kilde: opennet.ru
