{"id":104377,"date":"2022-06-13T21:36:53","date_gmt":"2022-06-13T19:36:53","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov"},"modified":"2022-06-13T21:36:53","modified_gmt":"2022-06-13T19:36:53","slug":"v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov","title":{"rendered":"In den \u00f6ffentlichen Logs von Travis CI wurden etwa 73.000 Tokens und Passw\u00f6rter von offenen Projekten entdeckt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Die Firma Aqua Security hat die Ergebnisse einer Untersuchung zur Verf\u00fcgbarkeit sensibler Daten in Build-Logs ver\u00f6ffentlicht, die \u00f6ffentlich im kontinuierlichen Integrationssystem Travis CI zug\u00e4nglich sind. Die Forscher fanden einen Weg, um 770 Millionen Logs verschiedener Projekte zu extrahieren. Bei einem Testlauf mit 8 Millionen Logs wurden in den gewonnenen Daten etwa 73.000 Tokens, Anmeldedaten und Zugangsschl\u00fcssel identifiziert, die mit verschiedenen popul\u00e4ren Services wie GitHub, AWS und Docker Hub verbunden sind. Die aufgedeckten Informationen k\u00f6nnen die Infrastruktur vieler Open-Source-Projekte gef\u00e4hrden; ein \u00e4hnlicher Vorfall f\u00fchrte k\u00fcrzlich zum Hack der Infrastruktur des NPM-Projekts. <\/p>\n
Die Sicherheitsl\u00fccke erm\u00f6glicht den Zugriff auf die Protokolle von Benutzern des kostenlosen Dienstes Travis CI \u00fcber die regul\u00e4re API (zum Beispiel kann das Build-Protokoll \u00fcber eine URL wie \u201ehttps:\/\/api.travis-ci.org\/v3\/job\/5248126\/log.txt\u201c heruntergeladen werden, wobei die Zahl 5248126 die ID des Protokolls ist). Zur Bestimmung des m\u00f6glichen Bereichs von Protokoll-IDs wurde eine weitere API (\u201ehttps:\/\/api.travis-ci.org\/logs\/6976822\u201c) genutzt, die eine Weiterleitung zum Download des Protokolls nach fortlaufender Nummer bietet. Durch intensives Forschen gelang es, ohne Authentifizierung etwa 770 Millionen Protokolle zu identifizieren, die zwischen 2013 und Mai 2022 w\u00e4hrend der Erstellung von Projekten, die unter den kostenlosen Tarif fallen, erstellt wurden. <\/p>\n
Die Analyse der Teststichprobe hat gezeigt, dass in vielen F\u00e4llen die Zugriffsdaten auf Repositories, APIs und Speicher in den Logs im Klartext auffindbar sind. Diese Informationen sind ausreichend, um auf private Repositories zuzugreifen, Code\u00e4nderungen vorzunehmen oder sich mit Cloud-Umgebungen zu verbinden, die in der Infrastruktur verwendet werden. Beispielsweise wurden in den Logs Tokens f\u00fcr die Verbindung zu Repositories in GitHub, Passw\u00f6rter f\u00fcr das Bereitstellen von Builds in Docker Hub, Schl\u00fcssel f\u00fcr den Zugang zu Amazon Web Services (AWS) und Verbindungsparameter f\u00fcr MySQL- und PostgreSQL-Datenbanken gefunden. <\/p>\n
Bemerkenswert ist, dass \u00e4hnliche API-Lecks von Forschern in den Jahren 2015 und 2019 dokumentiert wurden. Nach fr\u00fcheren Vorf\u00e4llen hat das Unternehmen Travis bestimmte Einschr\u00e4nkungen eingef\u00fchrt, um das massenhafte Herunterladen von Daten zu erschweren und den Zugang zur API einzuschr\u00e4nken. Diese Einschr\u00e4nkungen konnten jedoch umgangen werden. Dar\u00fcber hinaus unternahm Travis einen Versuch, vertrauliche Daten in den Logs zu bereinigen, wobei jedoch nur eine teilweise S\u00e4uberung erfolgte. <\/p>\n
Der Leak betraf haupts\u00e4chlich Benutzer \u00f6ffentlicher Projekte, die von Travis kostenlosen Zugang zu seinem Continuous Integration-Service erhalten. Bei einer \u00dcberpr\u00fcfung durch mehrere Dienstanbieter wurde best\u00e4tigt, dass etwa die H\u00e4lfte der aus den Logs extrahierten Tokens und Schl\u00fcssel weiterhin funktionsf\u00e4hig ist. Allen Nutzern der kostenlosen Version des Travis CI-Services wird dringend geraten, ihre Zugangsschl\u00fcssel zu \u00e4ndern, die L\u00f6schung von Build-Logs einzurichten und sicherzustellen, dass keine vertraulichen Daten im Log ausgegeben werden. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"