ट्रैविस सीआई लीकिंग पब्लिक रिपॉजिटरी कीज में भेद्यता

ट्रैविस सीआई निरंतर एकीकरण सेवा में एक सुरक्षा समस्या (सीवीई-2021-41077) की पहचान की गई है, जिसे गिटहब और बिटबकेट पर विकसित परियोजनाओं के परीक्षण और निर्माण के लिए डिज़ाइन किया गया है, जो ट्रैविस सीआई का उपयोग करके सार्वजनिक रिपॉजिटरी के संवेदनशील पर्यावरण चर की सामग्री को प्रकट करने की अनुमति देता है। . अन्य बातों के अलावा, भेद्यता आपको एपीआई तक पहुंचने के लिए डिजिटल हस्ताक्षर, एक्सेस कुंजी और टोकन उत्पन्न करने के लिए ट्रैविस सीआई में उपयोग की जाने वाली कुंजी का पता लगाने की अनुमति देती है।

यह समस्या ट्रैविस सीआई में 3 सितंबर से 10 सितंबर तक मौजूद थी। यह उल्लेखनीय है कि भेद्यता के बारे में जानकारी 7 सितंबर को डेवलपर्स को प्रेषित की गई थी, लेकिन जवाब में उन्हें केवल कुंजी रोटेशन का उपयोग करने की सिफारिश के साथ एक उत्तर मिला। पर्याप्त प्रतिक्रिया नहीं मिलने पर, शोधकर्ताओं ने GitHub से संपर्क किया और ट्रैविस को ब्लैकलिस्ट करने का प्रस्ताव रखा। विभिन्न परियोजनाओं से बड़ी संख्या में शिकायतें मिलने के बाद 10 सितंबर को ही समस्या को ठीक कर लिया गया। घटना के बाद, ट्रैविस सीआई वेबसाइट पर समस्या के बारे में एक अजीब से अधिक रिपोर्ट प्रकाशित की गई थी, जिसमें भेद्यता के समाधान के बारे में सूचित करने के बजाय, केवल एक्सेस कुंजियों को चक्रीय रूप से बदलने के लिए संदर्भ से बाहर की सिफारिश शामिल थी।

कई बड़ी परियोजनाओं द्वारा कवर-अप पर आक्रोश के बाद, ट्रैविस सीआई सपोर्ट फोरम पर एक अधिक विस्तृत रिपोर्ट प्रकाशित की गई थी, जिसमें चेतावनी दी गई थी कि किसी भी सार्वजनिक भंडार के कांटे का मालिक, एक पुल अनुरोध सबमिट करके, निर्माण प्रक्रिया को ट्रिगर कर सकता है और लाभ प्राप्त कर सकता है। मूल रिपॉजिटरी के संवेदनशील पर्यावरण चर तक अनधिकृत पहुंच, ".travis.yml" फ़ाइल के फ़ील्ड के आधार पर असेंबली के दौरान सेट की गई या ट्रैविस सीआई वेब इंटरफ़ेस के माध्यम से परिभाषित की गई। ऐसे वेरिएबल्स को एन्क्रिप्टेड रूप में संग्रहीत किया जाता है और केवल असेंबली के दौरान डिक्रिप्ट किया जाता है। समस्या ने केवल सार्वजनिक रूप से सुलभ रिपॉजिटरी को प्रभावित किया है जिनमें कांटे हैं (निजी रिपॉजिटरी हमले के लिए अतिसंवेदनशील नहीं हैं)।

स्रोत: opennet.ru