{"id":104377,"date":"2022-06-13T21:36:53","date_gmt":"2022-06-13T19:36:53","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov"},"modified":"2022-06-13T21:36:53","modified_gmt":"2022-06-13T19:36:53","slug":"v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov","title":{"rendered":"Environ 73 000 tokens et mots de passe de projets ouverts ont \u00e9t\u00e9 identifi\u00e9s dans les journaux publics de Travis CI.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La soci\u00e9t\u00e9 Aqua Security a publi\u00e9 les r\u00e9sultats d'une \u00e9tude sur la pr\u00e9sence de donn\u00e9es sensibles dans les journaux de construction, accessibles publiquement dans le syst\u00e8me d'int\u00e9gration continue Travis CI. Les chercheurs ont trouv\u00e9 un moyen d'extraire 770 millions de journaux de divers projets. Lors d'un test avec 8 millions de journaux, environ 73 000 jetons, identifiants et cl\u00e9s d'acc\u00e8s li\u00e9s \u00e0 divers services populaires, y compris GitHub, AWS et Docker Hub, ont \u00e9t\u00e9 identifi\u00e9s dans les donn\u00e9es. Les informations d\u00e9couvertes peuvent compromettre l'infrastructure de nombreux projets open source, par exemple, une fuite similaire a r\u00e9cemment conduit au piratage de l'infrastructure du projet NPM. <\/p>\n
La fuite est li\u00e9e \u00e0 la possibilit\u00e9 d'acc\u00e9der aux journaux des utilisateurs du service gratuit Travis CI via l'API standard (par exemple, le journal de construction peut \u00eatre t\u00e9l\u00e9charg\u00e9 via une URL de type \u00ab https:\/\/api.travis-ci.org\/v3\/job\/5248126\/log.txt \u00bb, o\u00f9 le nombre 5248126 est l'identifiant du journal). Pour d\u00e9terminer la plage des identifiants de journaux possibles, une autre API (\u00ab https:\/\/api.travis-ci.org\/logs\/6976822 \u00bb) a \u00e9t\u00e9 utilis\u00e9e, permettant de rediriger vers le t\u00e9l\u00e9chargement du journal par num\u00e9ro chronologique. Gr\u00e2ce \u00e0 une m\u00e9thode de balayage lors de l'enqu\u00eate, il a \u00e9t\u00e9 possible de d\u00e9terminer sans authentification environ 770 millions de journaux, cr\u00e9\u00e9s entre 2013 et mai 2022, lors de la construction de projets couverts par le plan tarifaire gratuit. <\/p>\n
L'analyse d'un \u00e9chantillon test a montr\u00e9 que dans de nombreux cas, les journaux contiennent en clair des param\u00e8tres d'acc\u00e8s aux d\u00e9p\u00f4ts, API et entrep\u00f4ts, suffisamment pour acc\u00e9der aux d\u00e9p\u00f4ts priv\u00e9s, apporter des modifications au code ou se connecter aux environnements cloud utilis\u00e9s dans l'infrastructure. Par exemple, des jetons pour se connecter aux d\u00e9p\u00f4ts sur GitHub, des mots de passe pour h\u00e9berger des constructions sur Docker Hub, des cl\u00e9s d'acc\u00e8s aux environnements Amazon Web Services (AWS) et des param\u00e8tres de connexion aux bases de donn\u00e9es MySQL et PostgreSQL ont \u00e9t\u00e9 trouv\u00e9s dans les journaux. <\/p>\n
Notons que des fuites similaires via l'API ont \u00e9t\u00e9 signal\u00e9es par les chercheurs en 2015 et 2019. Apr\u00e8s les incidents pr\u00e9c\u00e9dents, la soci\u00e9t\u00e9 Travis a ajout\u00e9 certaines restrictions pour rendre difficile le t\u00e9l\u00e9chargement massif de donn\u00e9es et a restreint l'acc\u00e8s \u00e0 l'API, mais ces restrictions ont pu \u00eatre contourn\u00e9es. De plus, la soci\u00e9t\u00e9 Travis a essay\u00e9 de nettoyer les donn\u00e9es sensibles dans les journaux, mais le nettoyage n'a \u00e9t\u00e9 que partiel. <\/p>\n
La fuite a principalement touch\u00e9 les utilisateurs de projets publics, \u00e0 qui Travis offre un acc\u00e8s gratuit \u00e0 son service d'int\u00e9gration continue. Lors d'une v\u00e9rification effectu\u00e9e par certains fournisseurs de services, il a \u00e9t\u00e9 confirm\u00e9 qu'environ la moiti\u00e9 des jetons et des cl\u00e9s extraits des journaux demeurent fonctionnels. Il est fortement recommand\u00e9 \u00e0 tous les utilisateurs de la version gratuite du service Travis CI de changer d'urgence leurs cl\u00e9s d'acc\u00e8s, ainsi que de configurer la suppression des journaux de construction et de v\u00e9rifier l'absence de sortie de donn\u00e9es confidentielles dans les journaux. \n Source : opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"