{"id":104377,"date":"2022-06-13T21:36:53","date_gmt":"2022-06-13T19:36:53","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov"},"modified":"2022-06-13T21:36:53","modified_gmt":"2022-06-13T19:36:53","slug":"v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/news\/v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov","title":{"rendered":"I offentlige logfiler fra Travis CI er der afsl\u00f8ret omkring 73.000 tokens og adgangskoder fra \u00e5bne projekter","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Aqua Security har offentliggjort resultaterne af en unders\u00f8gelse om tilstedev\u00e6relsen af f\u00f8lsomme data i build-logs, der er offentligt tilg\u00e6ngelige i det kontinuerlige integrationssystem Travis CI. Forskere fandt en m\u00e5de at udtr\u00e6kke 770 millioner logs fra forskellige projekter. Ved at teste med en upload af 8 millioner logs blev der i de indsamlede data identificeret cirka 73.000 tokens, brugerkonti og adgangsn\u00f8gler relateret til forskellige popul\u00e6re tjenester, herunder GitHub, AWS og Docker Hub. Den identificerede information kan kompromittere infrastrukturen for mange open source-projekter; for eksempel f\u00f8rte en lignende l\u00e6kage for nylig til et angreb p\u00e5 infrastrukturen af NPM-projektet. <\/p>\n
L\u00e6kagen er relateret til muligheden for at f\u00e5 adgang til logfilerne fra brugerne af den gratis tjeneste Travis CI via det officielle API (for eksempel kan build-loggen downloades gennem en URL som «https:\/\/api.travis-ci.org\/v3\/job\/5248126\/log.txt», hvor tallet 5248126 er logens identifikator). For at bestemme r\u00e6kkevidden af mulige log-identifier blev en anden API anvendt («https:\/\/api.travis-ci.org\/logs\/6976822»), der muligg\u00f8r omdirigering til download af loggen efter r\u00e6kkef\u00f8lge. Gennem en systematisk unders\u00f8gelse lykkedes det at identificere omkring 770 millioner logs uden autentifikation, som blev oprettet fra 2013 til maj 2022 under bygning af projekter d\u00e6kket af den gratis prispakke. <\/p>\n
Analysen af det testede udvalg viste, at adgangsparametre til repositories, API'er og lagre ofte i \u00e5bent format fremg\u00e5r i loggen, hvilket er tilstr\u00e6kkeligt til at f\u00e5 adgang til private repositories, lave \u00e6ndringer i koden eller oprette forbindelse til cloud-milj\u00f8er, der anvendes i infrastrukturen. For eksempel blev der i logs fundet tokens til opkobling til repositories i GitHub, adgangskoder til hosting af builds i Docker Hub, n\u00f8gler til adgang til Amazon Web Services (AWS) milj\u00f8er, samt tilslutningsparametre til MySQL og PostgreSQL databasesystemer. <\/p>\n
Bem\u00e6rkelsesv\u00e6rdigt er, at lignende l\u00e6kager gennem API'er blev registreret af forskere i 2015 og 2019. Efter tidligere h\u00e6ndelser tilf\u00f8jede Travis visse restriktioner for at vanskeligg\u00f8re masse-download af data og begr\u00e6nsede adgangen til API'en, men disse restriktioner blev omg\u00e5et. Derudover gjorde Travis et fors\u00f8g p\u00e5 at rense f\u00f8lsomme data i loggene, men dataene blev kun delvist renset. <\/p>\n
Data breaches mainly affected users of open projects who are granted free access to Travis's continuous integration service. During a review conducted by some service providers, it was confirmed that about half of the tokens and keys extracted from the logs remain active. All users of the free version of the Travis CI service are urgently advised to change their access keys, as well as to configure the deletion of build logs and ensure that no confidential data is output in the logs. \n Kilde: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"