{"id":104377,"date":"2022-06-13T21:36:53","date_gmt":"2022-06-13T19:36:53","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov"},"modified":"2022-06-13T21:36:53","modified_gmt":"2022-06-13T19:36:53","slug":"v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov","title":{"rendered":"In den \u00f6ffentlichen Protokollen von Travis CI wurden etwa 73.000 Tokens und Passw\u00f6rter von offenen Projekten entdeckt.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Das Unternehmen Aqua Security hat die Ergebnisse einer Untersuchung zur Verf\u00fcgbarkeit sensibler Daten in den Build-Protokollen ver\u00f6ffentlicht, die im System f\u00fcr kontinuierliche Integration Travis CI \u00f6ffentlich zug\u00e4nglich sind. Forscher fanden eine M\u00f6glichkeit, 770 Millionen Protokolle verschiedener Projekte zu extrahieren. Bei einem Test-Upload von 8 Millionen Protokollen wurden in den erhaltenen Daten rund 73.000 Tokens, Zugangsdaten und Schl\u00fcssel entdeckt, die mit verschiedenen beliebten Diensten, einschlie\u00dflich GitHub, AWS und Docker Hub, verbunden sind. Die entdeckten Informationen k\u00f6nnen die Infrastruktur vieler offener Projekte kompromittieren; so f\u00fchrte ein \u00e4hnlicher Vorfall k\u00fcrzlich zum Hacken der Infrastruktur des NPM-Projekts. <\/p>\n
Die Verletzung ist mit der M\u00f6glichkeit verbunden, auf die Protokolle von Benutzern des kostenlosen Dienstes Travis CI \u00fcber die Standard-API zuzugreifen (zum Beispiel kann das Protokoll einer Aufgabe \u00fcber eine URL vom Typ \u201ehttps:\/\/api.travis-ci.org\/v3\/job\/5248126\/log.txt\u201c heruntergeladen werden, wobei die Zahl 5248126 die Protokoll-ID ist). Um den Bereich der m\u00f6glichen Protokoll-IDs zu bestimmen, wurde eine weitere API verwendet (\u201ehttps:\/\/api.travis-ci.org\/logs\/6976822\u201c), die eine Umleitung zum Download des Protokolls nach fortlaufender Nummer erm\u00f6glicht. Durch Brute-Force-Methoden gelang es w\u00e4hrend der Untersuchung, ohne Authentifizierung etwa 770 Millionen Protokolle zu identifizieren, die zwischen 2013 und Mai 2022 im Rahmen von Builds von Projekten, die unter den kostenlosen Tarif fallen, erstellt wurden. <\/p>\n
Die Analyse der Teststichprobe zeigte, dass in vielen F\u00e4llen im Protokoll im Klartext Zugriffsparameter f\u00fcr Repositories, APIs und Speicherorte reflektiert werden, die ausreichen, um auf private Repositories zuzugreifen, \u00c4nderungen am Code vorzunehmen oder eine Verbindung zu Cloud-Umgebungen herzustellen, die in der Infrastruktur verwendet werden. Beispielsweise wurden in den Protokollen Tokens f\u00fcr den Zugriff auf Repositories in GitHub, Passw\u00f6rter f\u00fcr das Hosting von Builds in Docker Hub, Schl\u00fcssel f\u00fcr den Zugriff auf Umgebungen von Amazon Web Services (AWS) sowie Verbindungseinstellungen f\u00fcr die Datenbankmanagementsysteme MySQL und PostgreSQL gefunden. <\/p>\n
Bemerkenswert ist, dass \u00e4hnliche Leckagen \u00fcber APIs von Forschern in den Jahren 2015 und 2019 dokumentiert wurden. Nach fr\u00fcheren Vorf\u00e4llen hat das Unternehmen Travis bestimmte Einschr\u00e4nkungen eingef\u00fchrt, um das massenhafte Herunterladen von Daten zu erschweren, und den Zugang zur API eingeschr\u00e4nkt, doch diese Einschr\u00e4nkungen konnten umgangen werden. Dar\u00fcber hinaus unternahm das Unternehmen Travis einen Versuch, sensible Daten in den Protokollen zu bereinigen, jedoch wurden die Daten nur teilweise bereinigt. <\/p>\n
Die Leckage betraf haupts\u00e4chlich Benutzer offener Projekte, die von Travis kostenlosen Zugang zu seinem Continuous Integration-Dienst erhalten. Bei einer \u00dcberpr\u00fcfung durch einige Dienstanbieter wurde best\u00e4tigt, dass etwa die H\u00e4lfte der aus den Protokollen extrahierten Tokens und Schl\u00fcssel weiterhin funktionieren. Allen Nutzern der kostenlosen Version des Travis CI-Dienstes wird dringend empfohlen, ihre Zugangsschl\u00fcssel zu \u00e4ndern sowie die L\u00f6schung von Build-Protokollen zu aktivieren und zu \u00fcberpr\u00fcfen, ob vertrauliche Daten nicht in den Protokollen erscheinen. \n Quelle: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"