Haavatavus Travis CI-s, mis viib avalike allikate võtmete lekkimiseni

Travis CI pidev integreerimise teenuses, mis on mõeldud GitHubi ja Bitbucketis arendatavate projektide testimiseks ja kokkupanekuks, avastati turvaprobleem (CVE-2021-41077), mis võimaldab avalike hoidlate konfidentsiaalsete keskkonnamuutujate sisu välja selgitada, mis kasutavad Travis CI-d. Sealhulgas võimaldab see haavatavus teada saada Travis CI's kasutatavaid võtmeid digitaalsete allkirjade genereerimiseks, juurdepääsuvõtmeid ja API kutsumise token'eid.

Probleem esines Travis CI-s 3.-10. septembril. Oluline on märkida, et teave hädavajaduse kohta edastati arendajatele 7. septembril, kuid vastuseks saadi vaid üldine soovitus võtmete rotatsiooni osas. Tagasiside saamata, võtsid uurijad ühendust GitHubiga ja pakkusid, et Travis tuleks musta nimekirja panna. Probleem lahendati alles 10. septembril pärast hulgaliselt erinevaid kaebusi. Pärast juhtumit avaldas Travis CI veebilehel veidi kummalise aruande, kus hädavajaduse lahendamise asemel sisaldus vaid kontekstist väljas soovitus võtmete tsükliliseks vahetamiseks.

Pärast mitmete suurte projektide väljendatud pahameelt infot peitmisesse, avaldas Travis CI tugifoorumis põhjalikuma aruande, milles hoiatati, et iga avaliku hoidla forki omanik, esitades pull-päringu, võis alustada kokkupanekuprotsessi ja saada volitamata juurdepääsu algse hoidla konfidentsiaalsetele keskkonnamuutujatele, mis määratakse ülesehitamise käigus faili „.travis.yml” väljadest või määratakse Travis CI veebiliidese kaudu. Sarnased muutujad salvestatakse krüptitud kujul ja dekodeeritakse ainult ehituse ajal. Probleem puudutas ainult avalikult kättesaadavaid hoidlaid, millel oli forke (privaatseid hoidlaid ei ohustata).

Allikas: opennet.ru