ટ્રેવિસ CI માં નબળાઈ જાહેર રીપોઝીટરી કીના લીકેજ તરફ દોરી જાય છે

ટ્રેવિસ CI સતત એકીકરણ સેવામાં સુરક્ષા સમસ્યા (CVE-2021-41077) ઓળખવામાં આવી છે, જે GitHub અને Bitbucket પર વિકસિત પ્રોજેક્ટ્સના પરીક્ષણ અને નિર્માણ માટે રચાયેલ છે, જે ટ્રેવિસ CI નો ઉપયોગ કરીને જાહેર ભંડારોના સંવેદનશીલ પર્યાવરણ ચલોની સામગ્રીને જાહેર કરવાની મંજૂરી આપે છે. . અન્ય વસ્તુઓની સાથે, નબળાઈ તમને ટ્રેવિસ CI માં ડિજિટલ સિગ્નેચર, એક્સેસ કી અને API ને એક્સેસ કરવા માટે ટોકન્સ જનરેટ કરવા માટે વપરાતી કીઝ શોધવાની પરવાનગી આપે છે.

ટ્રેવિસ સીઆઈમાં 3 સપ્ટેમ્બરથી 10 સપ્ટેમ્બર દરમિયાન આ સમસ્યા હતી. નોંધનીય છે કે 7 સપ્ટેમ્બરે વિકાસકર્તાઓને નબળાઈ વિશેની માહિતી પ્રસારિત કરવામાં આવી હતી, પરંતુ તેના જવાબમાં તેમને માત્ર કી રોટેશનનો ઉપયોગ કરવાની ભલામણ સાથેનો જવાબ મળ્યો હતો. પર્યાપ્ત પ્રતિસાદ ન મળતાં, સંશોધકોએ GitHub નો સંપર્ક કર્યો અને ટ્રેવિસને બ્લેકલિસ્ટ કરવાની દરખાસ્ત કરી. વિવિધ પ્રોજેક્ટ્સમાંથી મોટી સંખ્યામાં ફરિયાદો આવ્યા બાદ 10 સપ્ટેમ્બરે જ સમસ્યાનો ઉકેલ લાવવામાં આવ્યો હતો. આ ઘટના પછી, ટ્રેવિસ CI વેબસાઈટ પર સમસ્યા વિશે વધુ વિચિત્ર અહેવાલ પ્રકાશિત કરવામાં આવ્યો હતો, જેમાં નબળાઈ માટેના સુધારા વિશે જાણ કરવાને બદલે, એક્સેસ કીને ચક્રીય રીતે બદલવા માટે સંદર્ભની બહારની ભલામણ હતી.

કેટલાક મોટા પ્રોજેક્ટ્સ દ્વારા કવર-અપ પરના આક્રોશને પગલે, ટ્રેવિસ સીઆઈ સપોર્ટ ફોરમ પર વધુ વિગતવાર અહેવાલ પ્રકાશિત કરવામાં આવ્યો હતો, જેમાં ચેતવણી આપવામાં આવી હતી કે કોઈપણ સાર્વજનિક રિપોઝીટરીના ફોર્કના માલિક, પુલ વિનંતી સબમિટ કરીને, બિલ્ડ પ્રક્રિયાને ટ્રિગર કરી શકે છે અને લાભ મેળવી શકે છે. અસલ રિપોઝીટરીના સંવેદનશીલ પર્યાવરણ ચલોની અનધિકૃત ઍક્સેસ. , ".travis.yml" ફાઇલના ક્ષેત્રોના આધારે એસેમ્બલી દરમિયાન સેટ અથવા ટ્રેવિસ CI વેબ ઇન્ટરફેસ દ્વારા વ્યાખ્યાયિત. આવા ચલો એનક્રિપ્ટેડ સ્વરૂપમાં સંગ્રહિત થાય છે અને માત્ર એસેમ્બલી દરમિયાન જ ડિક્રિપ્ટ કરવામાં આવે છે. સમસ્યા માત્ર સાર્વજનિક રીતે સુલભ રીપોઝીટરીઝને અસર કરે છે જેમાં ફોર્ક હોય છે (ખાનગી રીપોઝીટરીઝ હુમલા માટે સંવેદનશીલ નથી).

સોર્સ: opennet.ru