{"id":101282,"date":"2021-09-17T04:22:36","date_gmt":"2021-09-17T02:22:36","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-travis-ci-privodyashhaya-k-utechke-klyuchej-publichnyh-repozitoriev"},"modified":"2021-09-17T04:22:36","modified_gmt":"2021-09-17T02:22:36","slug":"uyazvimost-v-travis-ci-privodyashhaya-k-utechke-klyuchej-publichnyh-repozitoriev","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/uyazvimost-v-travis-ci-privodyashhaya-k-utechke-klyuchej-publichnyh-repozitoriev","title":{"rendered":"S\u00e5rbarhed i Travis CI, der f\u00f8rer til l\u00e6kage af n\u00f8gler fra offentlige repositories","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I Travis CI, service til kontinuerlig integration designet til test og bygning af projekter udviklet p\u00e5 GitHub og Bitbucket, er der blevet opdaget et sikkerhedsproblem (CVE-2021-41077), der g\u00f8r det muligt at f\u00e5 adgang til indholdet af fortrolige milj\u00f8variabler fra offentlige repositories, der bruger Travis CI. S\u00e5rbarheden g\u00f8r det ogs\u00e5 muligt at f\u00e5 kendskab til n\u00f8gler, der anvendes i Travis CI til generering af digitale signaturer, adgangsn\u00f8gler og tokens til API-kald. <\/p>\n
Problemet har v\u00e6ret til stede i Travis CI fra den 3. til den 10. september. Bem\u00e6rkelsesv\u00e6rdigt er det, at information om s\u00e5rbarheden blev givet til udviklerne den 7. september, men der blev kun modtaget en standardbesked med anbefaling om at rotere n\u00f8gler. Uden den rette feedback kontaktede forskerne GitHub og foreslog at s\u00e6tte Travis p\u00e5 en sortliste. Problemet blev f\u00f8rst l\u00f8st den 10. september efter et stort antal klager fra forskellige projekter. Efter h\u00e6ndelsen blev der offentliggjort en mere end m\u00e6rkelig rapport om problemet p\u00e5 Travis CIs hjemmeside, hvor der i stedet for at informere om reparationen af s\u00e5rbarheden kun fremgik den kontekstl\u00f8se anbefaling om l\u00f8bende at \u00e6ndre adgangsn\u00f8gler. <\/p>\n
Efter uroen over skjulte oplysninger udtrykt af flere store projekter, blev der offentliggjort en mere detaljeret rapport p\u00e5 Travis CI's supportforum, hvor der blev advaret om, at ejeren af en fork af ethvert offentligt repository kunne igangs\u00e6tte byggeprocessen og f\u00e5 uautoriseret adgang til de fortrolige milj\u00f8variabler fra det oprindelige repository ved at sende en pull-anmodning. Disse variabler pr\u00e6senteres under bygningen baseret p\u00e5 felterne fra filen \".travis.yml\" eller defineres via Travis CI's webgr\u00e6nseflade. S\u00e5danne variabler gemmes i krypteret form og dekrypteres kun under bygningen. Problemet vedr\u00f8rte kun offentligt tilg\u00e6ngelige repositories, der har forks (private repositories er ikke udsat for angreb). \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"