{"id":101282,"date":"2021-09-17T04:22:36","date_gmt":"2021-09-17T02:22:36","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-travis-ci-privodyashhaya-k-utechke-klyuchej-publichnyh-repozitoriev"},"modified":"2021-09-17T04:22:36","modified_gmt":"2021-09-17T02:22:36","slug":"uyazvimost-v-travis-ci-privodyashhaya-k-utechke-klyuchej-publichnyh-repozitoriev","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/uyazvimost-v-travis-ci-privodyashhaya-k-utechke-klyuchej-publichnyh-repozitoriev","title":{"rendered":"Sicherheitsanf\u00e4lligkeit in Travis CI, die zum Leck von Schl\u00fcsseln \u00f6ffentlicher Repositories f\u00fchrt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Im Continuous Integration-Dienst Travis CI, der f\u00fcr das Testen und den Aufbau von Projekten entwickelt wurde, die auf GitHub und Bitbucket entwickelt werden, wurde ein Sicherheitsproblem (CVE-2021-41077) entdeckt, das es erm\u00f6glicht, den Inhalt vertraulicher Umgebungsvariablen \u00f6ffentlicher Repositories, die Travis CI verwenden, zu erfahren. Unter anderem erlaubt die Schwachstelle den Zugriff auf die in Travis CI verwendeten Schl\u00fcssel zur Erstellung digitaler Signaturen, Zugangsschl\u00fcssel und Token f\u00fcr den Zugriff auf die API. <\/p>\n
Das Problem trat in Travis CI vom 3. bis 10. September auf. Bemerkenswert ist, dass die Informationen \u00fcber die Schwachstelle am 7. September an die Entwickler \u00fcbermittelt wurden, aber als Antwort nur eine allgemeine Empfehlung zur Schl\u00fcsseldrehung zur\u00fcckkam. Ohne angemessenes Feedback nahmen die Forscher Kontakt mit GitHub auf und schlugen vor, Travis auf die schwarze Liste zu setzen. Das Problem wurde erst am 10. September nach einer Vielzahl von Beschwerden von verschiedenen Projekten behoben. Nach dem Vorfall wurde auf der Website von Travis CI ein mehr als merkw\u00fcrdiger Bericht \u00fcber das Problem ver\u00f6ffentlicht, der anstelle einer Information \u00fcber die Behebung der Schwachstelle nur die genannte Empfehlung zur zyklischen \u00c4nderung der Zugangsschl\u00fcssel ohne Kontext enthielt. <\/p>\n
Nach den Beschwerden \u00fcber die Verschleierung von Informationen, die von mehreren gro\u00dfen Projekten ge\u00e4u\u00dfert wurden, wurde in dem Support-Forum von Travis CI ein detaillierterer Bericht ver\u00f6ffentlicht, in dem gewarnt wurde, dass der Besitzer eines Forks eines \u00f6ffentlichen Repositories durch das Einreichen eines Pull-Requests den Build-Prozess initiieren und unbefugten Zugriff auf die vertraulichen Umgebungsvariablen des urspr\u00fcnglichen Repositories erhalten konnte, die w\u00e4hrend des Builds basierend auf Feldern aus der Datei «.travis.yml» oder \u00fcber die Weboberfl\u00e4che von Travis CI festgelegt werden. Solche Variablen werden in verschl\u00fcsselter Form gespeichert und nur w\u00e4hrend des Builds entschl\u00fcsselt. Das Problem betraf nur \u00f6ffentlich zug\u00e4ngliche Repositories, die Forks haben (private Repositories sind nicht anf\u00e4llig f\u00fcr Angriffe). \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"