Chaidh cùis tèarainteachd (CVE-2021-41077) a chomharrachadh ann an seirbheis amalachaidh leantainneach Travis CI, air a dhealbhadh gus pròiseactan a chaidh a leasachadh air GitHub agus Bitbucket a dhearbhadh agus a thogail, a leigeas leat faighinn a-mach susbaint caochladairean àrainneachd dìomhair de stòran poblach a’ cleachdadh Travis CI. Am measg rudan eile, tha an so-leòntachd a’ leigeil leat faighinn a-mach na h-iuchraichean a thathas a’ cleachdadh ann an Travis CI airson ainmean-sgrìobhte didseatach a chruthachadh, iuchraichean ruigsinneachd agus comharran airson faighinn chun API.
Bha a’ chùis an làthair ann an Travis CI bhon t-Sultain 3rd gu 10th. Bu chòir a thoirt fa-near gun deach fiosrachadh mun so-leòntachd a chuir chun luchd-leasachaidh air 7 Sultain, ach cha d’ fhuaireadh ach freagairt le moladh airson prìomh chuairteachadh a chleachdadh. Gun a bhith a’ faighinn fios air ais ceart, chuir an luchd-rannsachaidh fios gu GitHub agus thairg iad liosta dhubh Travis. Cha deach an duilgheadas a rèiteachadh ach air 10 Sultain às deidh àireamh mhòr de ghearanan fhaighinn bho dhiofar phròiseactan. Às deidh na thachair, chaidh aithisg duilgheadas nas neònach fhoillseachadh air làrach-lìn Travis CI, anns an robh, an àite a bhith ag innse mun fhuasgladh so-leòntachd, anns nach robh ach moladh taobh a-muigh co-theacsa airson iuchraichean ruigsinneachd baidhsagal.
Às deidh ùpraid mu bhith a’ cumail fiosrachadh air ais le grunn phrìomh phròiseactan, chaidh aithisg nas mionaidiche a phostadh air fòram taic Travis CI, a ’toirt rabhadh gum faodadh sealbhadair forc stòr poblach sam bith, le bhith a’ cur a-steach iarrtas tarraing, am pròiseas togail a thòiseachadh agus ruigsinneachd gun chead fhaighinn. gu caochladairean àrainneachd dìomhair den stòr tùsail, suidhichte aig àm togail stèidhichte air raointean bhon fhaidhle “.travis.yml” no air am mìneachadh tro eadar-aghaidh lìn Travis CI. Tha caochladairean mar sin air an stòradh ann an cruth crioptaichte agus chan eil iad air an dì-chrioptachadh ach aig àm togail. Cha tug an duilgheadas buaidh ach air stòran poblach aig a bheil forc (chan eilear a’ toirt ionnsaigh air tasgaidhean prìobhaideach).
Source: fosgailtenet.ru