{"id":101282,"date":"2021-09-17T04:22:36","date_gmt":"2021-09-17T02:22:36","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-travis-ci-privodyashhaya-k-utechke-klyuchej-publichnyh-repozitoriev"},"modified":"2021-09-17T04:22:36","modified_gmt":"2021-09-17T02:22:36","slug":"uyazvimost-v-travis-ci-privodyashhaya-k-utechke-klyuchej-publichnyh-repozitoriev","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/uyazvimost-v-travis-ci-privodyashhaya-k-utechke-klyuchej-publichnyh-repozitoriev","title":{"rendered":"Vulnerabilidad en Travis CI que permite la filtraci\u00f3n de claves de repositorios p\u00fablicos","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
En el servicio de integraci\u00f3n continua Travis CI, dise\u00f1ado para probar y construir proyectos desarrollados en GitHub y Bitbucket, se ha identificado un problema de seguridad (CVE-2021-41077) que permite acceder al contenido de las variables de entorno confidenciales de los repositorios p\u00fablicos que utilizan Travis CI. Esta vulnerabilidad tambi\u00e9n permite acceder a las claves utilizadas en Travis CI para generar firmas digitales, claves de acceso y tokens para realizar solicitudes a la API. <\/p>\n
El problema estuvo presente en Travis CI desde el 3 hasta el 10 de septiembre. Es notable que la informaci\u00f3n sobre la vulnerabilidad fue comunicada a los desarrolladores el 7 de septiembre, pero la \u00fanica respuesta recibida fue un aviso recomendado rotar las claves. Al no recibir una respuesta adecuada, los investigadores se comunicaron con GitHub y sugirieron incluir a Travis en una lista negra. El problema fue resuelto solo el 10 de septiembre tras numerosas quejas de diferentes proyectos. Despu\u00e9s del incidente, en el sitio web de la empresa Travis CI se public\u00f3 un informe extra\u00f1o sobre el asunto, donde, en lugar de informar sobre la correcci\u00f3n de la vulnerabilidad, solo se proporcion\u00f3 una recomendaci\u00f3n fuera de contexto de cambiar c\u00edclicamente las claves de acceso. <\/p>\n
Despu\u00e9s de la indignaci\u00f3n causada por la ocultaci\u00f3n de informaci\u00f3n expresada por varios proyectos importantes, se public\u00f3 en el foro de soporte de Travis CI un informe m\u00e1s detallado, advirtiendo que el propietario de un fork de cualquier repositorio p\u00fablico podr\u00eda iniciar el proceso de construcci\u00f3n y obtener acceso no autorizado a las variables de entorno confidenciales del repositorio original a trav\u00e9s del env\u00edo de un pull request, las cuales se exponen durante la construcci\u00f3n seg\u00fan los campos del archivo «.travis.yml» o se definen a trav\u00e9s de la interfaz web de Travis CI. Dichas variables se almacenan encriptadas y se desencriptan solo durante la construcci\u00f3n. El problema solo afectaba a repositorios p\u00fablicos que tienen forks (los repositorios privados no est\u00e1n sujetos a este ataque). \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"