U servisu kontinuirane integracije Travis CI, namijenjenom za testiranje i izgradnju projekata razvijenih na GitHubu i Bitbucketu, otkriven je problem s sigurnošću (CVE-2021-41077) koji omogućava pristup sadržaju povjerljivih varijabli okruženja javnih repozitorija koji koriste Travis CI. Između ostalog, ranjivost omogućava pristup ključevima korištenim u Travis CI za kreiranje digitalnih potpisa, ključevima za pristup i tokenima za API pozive.
Problem je bio prisutan u Travis CI od 3. do 10. rujna. Zanimljivo je da je informacija o ranjivosti prenesena programerima 7. rujna, ali su u odgovoru dobili samo preporuku o rotaciji ključeva. Ne došavši do odgovarajuće povratne informacije, istraživači su kontaktirali GitHub i predložili da se Travis stavlja na crnu listu. Problem je otklonjen tek 10. rujna, nakon brojnih pritužbi raznih projekata. Nakon incidenta, na web stranici tvrtke Travis CI objavljen je čudni izvještaj o problemu, u kojem umjesto informiranja o ispravku ranjivosti, isključivo sadrži navedenu preporuku o cikličkoj promjeni ključeva pristupa.
Nakon prosvjeda zbog prikrivanja informacija, koje su izrazila nekoliko velikih projekata, na Travis CI forumu podrške objavljen je detaljniji izvještaj, u kojem se upozorava da je vlasnik fork-a bilo kojeg javnog repozitorija mogao, slanjem pull zahtjeva, inicirati proces izgradnje i dobiti neautorizirani pristup povjerljivim varijablama okruženja izvornih repozitorija, postavljenim tijekom izgradnje na temelju polja iz datoteke '.travis.yml' ili definiranim putem web sučelja Travis CI. Takve varijable se čuvaju u šifriranom obliku i dešifriraju se samo tijekom izgradnje. Problem se odnosio isključivo na javno dostupne repozitorije koji imaju forkove (privatni repozitoriji nisu podložni napadima).
Izvor: opennet.ru
