{"id":104377,"date":"2022-06-13T21:36:53","date_gmt":"2022-06-13T19:36:53","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov"},"modified":"2022-06-13T21:36:53","modified_gmt":"2022-06-13T19:36:53","slug":"v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov","title":{"rendered":"Se han encontrado aproximadamente 73,000 tokens y contrase\u00f1as de proyectos abiertos en los registros p\u00fablicos de Travis CI.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La empresa Aqua Security ha publicado los resultados de un estudio sobre la presencia de datos confidenciales en los registros de construcci\u00f3n, accesibles p\u00fablicamente en el sistema de integraci\u00f3n continua Travis CI. Los investigadores encontraron una forma de extraer 770 millones de registros de distintos proyectos. En una carga de prueba de 8 millones de registros, se identificaron aproximadamente 73,000 tokens, credenciales y claves de acceso relacionadas con varios servicios populares, incluidos GitHub, AWS y Docker Hub. La informaci\u00f3n revelada permite comprometer la infraestructura de muchos proyectos de c\u00f3digo abierto; por ejemplo, una filtraci\u00f3n similar recientemente llev\u00f3 al hackeo de la infraestructura del proyecto NPM. <\/p>\n
La filtraci\u00f3n est\u00e1 relacionada con la posibilidad de acceder a los registros de usuarios del servicio gratuito Travis CI a trav\u00e9s de la API oficial (por ejemplo, el registro de la construcci\u00f3n se puede descargar mediante una URL como \"https:\/\/api.travis-ci.org\/v3\/job\/5248126\/log.txt\", donde el n\u00famero 5248126 es el identificador del registro). Para determinar el rango de identificadores de registros posibles, se utiliz\u00f3 otra API (\"https:\/\/api.travis-ci.org\/logs\/6976822\"), que proporciona redirecci\u00f3n para descargar el registro por n\u00famero secuencial. A trav\u00e9s de un m\u00e9todo de prueba y error, durante la investigaci\u00f3n se logr\u00f3 determinar sin autenticaci\u00f3n alrededor de 770 millones de registros creados desde 2013 hasta mayo de 2022 durante la construcci\u00f3n de proyectos bajo el plan gratuito. <\/p>\n
El an\u00e1lisis de la muestra de prueba mostr\u00f3 que en muchos casos, los registros reflejan abiertamente los par\u00e1metros de acceso a los repositorios, API y almacenes, suficientes para acceder a repositorios privados, realizar cambios en el c\u00f3digo o conectarse a entornos en la nube utilizados en la infraestructura. Por ejemplo, se encontraron tokens para conectarse a repositorios en GitHub, contrase\u00f1as para la implementaci\u00f3n de construcciones en Docker Hub, claves de acceso a entornos de Amazon Web Services (AWS), y par\u00e1metros de conexi\u00f3n a bases de datos MySQL y PostgreSQL. <\/p>\n
Es notable que filtraciones similares a trav\u00e9s de API fueron documentadas por los investigadores en 2015 y 2019. Despu\u00e9s de los incidentes anteriores, la empresa Travis implement\u00f3 ciertas restricciones para dificultar la descarga masiva de datos y redujo el acceso a la API, pero estas limitaciones fueron eludidas. Adem\u00e1s, Travis intent\u00f3 limpiar los datos confidenciales de los registros, pero la limpieza fue solo parcial. <\/p>\n
La filtraci\u00f3n afect\u00f3 principalmente a los usuarios de proyectos abiertos que tienen acceso gratuito al servicio de integraci\u00f3n continua de Travis. Durante las verificaciones realizadas por algunos proveedores de servicios, se confirm\u00f3 que aproximadamente la mitad de los tokens y claves extra\u00eddos de los registros siguen siendo funcionales. Se recomienda encarecidamente a todos los usuarios de la versi\u00f3n gratuita del servicio Travis CI que cambien sus claves de acceso de inmediato, as\u00ed como que configuren la eliminaci\u00f3n de los registros de compilaci\u00f3n y verifiquen la ausencia de informaci\u00f3n confidencial en los registros. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"