{"id":101282,"date":"2021-09-17T04:22:36","date_gmt":"2021-09-17T02:22:36","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-travis-ci-privodyashhaya-k-utechke-klyuchej-publichnyh-repozitoriev"},"modified":"2021-09-17T04:22:36","modified_gmt":"2021-09-17T02:22:36","slug":"uyazvimost-v-travis-ci-privodyashhaya-k-utechke-klyuchej-publichnyh-repozitoriev","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimost-v-travis-ci-privodyashhaya-k-utechke-klyuchej-publichnyh-repozitoriev","title":{"rendered":"Sicherheitsanf\u00e4lligkeit in Travis CI, die zur Offenlegung von Schl\u00fcsseln in \u00f6ffentlichen Repositories f\u00fchrt","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Im Continuous Integration-Dienst Travis CI, der f\u00fcr das Testen und Erstellen von Projekten auf GitHub und Bitbucket ausgelegt ist, wurde ein Sicherheitsproblem (CVE-2021-41077) entdeckt. Dieses erm\u00f6glicht das Auslesen von sensiblen Umgebungsvariablen in \u00f6ffentlichen Repositories, die Travis CI verwenden. Dazu geh\u00f6rt, dass die in Travis CI verwendeten Schl\u00fcssel f\u00fcr digitale Signaturen, Zugangsschl\u00fcssel und Tokens f\u00fcr API-Anfragen sichtbar gemacht werden. <\/p>\n
Das Problem trat bei Travis CI vom 3. bis 10. September auf. Bemerkenswert ist, dass die Informationen zur Schwachstelle den Entwicklern am 7. September \u00fcbermittelt wurden, jedoch lediglich eine Standardantwort mit der Empfehlung zur Schl\u00fcsselrotation einging. Da keine ad\u00e4quate R\u00fcckmeldung erfolgte, setzten die Forscher sich mit GitHub in Verbindung und schlugen vor, Travis auf die Blacklist zu setzen. Das Problem wurde erst am 10. September behoben, nachdem zahlreiche Beschwerden von verschiedenen Projekten eingegangen waren. Nach dem Vorfall wurde auf der Website von Travis CI ein mehr als merkw\u00fcrdiger Bericht \u00fcber das Problem ver\u00f6ffentlicht, der anstelle einer Information \u00fcber die Behebung der Schwachstelle lediglich eine aus dem Kontext gerissene Empfehlung enthielt, die Zugriffsschl\u00fcssel regelm\u00e4\u00dfig zu wechseln. <\/p>\n
Nach der Emp\u00f6rung \u00fcber die Verschleierung von Informationen, die von mehreren gro\u00dfen Projekten ge\u00e4u\u00dfert wurde, wurde im Support-Forum von Travis CI ein ausf\u00fchrlicher Bericht ver\u00f6ffentlicht. In diesem Bericht wurde gewarnt, dass der Besitzer eines Forks eines \u00f6ffentlichen Repositories durch das Einreichen eines Pull-Requests den Build-Prozess initiieren und unbefugten Zugriff auf vertrauliche Umgebungsvariablen des urspr\u00fcnglichen Repositories erhalten konnte, die w\u00e4hrend des Builds basierend auf Feldern aus der Datei .travis.yml<\/code> oder \u00fcber die Weboberfl\u00e4che von Travis CI definiert werden. Solche Variablen werden verschl\u00fcsselt gespeichert und nur w\u00e4hrend des Builds entschl\u00fcsselt. Das Problem betraf ausschlie\u00dflich \u00f6ffentlich zug\u00e4ngliche Repositories mit Forks (private Repositories sind nicht betroffen). \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"