Az Aqua Security vállalat közzétette a kutatás eredményeit, amely a nyilvánosan elérhető összesítő naplókban található érzékeny adatokra vonatkozik a folyamatos integrációs rendszerben, a Travis CI-ben. A kutatók megtalálták a módját, hogy 770 millió különböző projekt naplóit nyerjék ki. A 8 millió napló tesztelésével kiderült, hogy körülbelül 73 ezer token, hitelesítő adatok és hozzáférési kulcs kapcsolódik különböző népszerű szolgáltatásokhoz, beleértve a GitHubot, az AWS-t és a Docker Hubot. Az így fellelt információk lehetővé teszik sok nyílt projekt infrastruktúrájának meghekkeltét, például egy hasonló adatlopás nemrégiben az NPM projekt infrastruktúrájának feltöréséhez vezetett.
Az adatlopás lehetősége a Travis CI ingyenes szolgáltatásának felhasználói naplóinak API-n keresztüli elérésével függ össze (például a napló letöltésére szolgáló URL formátum: «https://api.travis-ci.org/v3/job/5248126/log.txt», ahol a 5248126 szám a napló azonosítója). A lehetséges naplóazonosítók tartományának meghatározásához egy másik API-t használtak («https://api.travis-ci.org/logs/6976822»), amely a napló letöltésére irányító redirekciót biztosít a sorozatszám alapján. A kutatás során, hitelesítés nélküli megközelítéssel körülbelül 770 millió napló azonosítására volt lehetőség, amelyek 2013 és 2022 májusa között, ingyenes árazási modell keretében jöttek létre a projektek építése során.
A tesztmintának végzett elemzés azt mutatta, hogy sok esetben a naplóban nyíltan hozzáférhetőek a repozitóriumokhoz, API-khoz és tárolókhoz való hozzáférés paraméterei, amelyek elegendőek privát repozitóriumokhoz történő hozzáféréshez, kódváltoztatáshoz vagy a szolgáltatás infrastruktúrájában használt felhői környezetekbe való csatlakozáshoz. Például a naplókban találtak tokeneket, amelyek a GitHub repozitóriumaihoz történő csatlakozáshoz, jelszavakat a Docker Hub-ra való telepítéshez és kulcsokat az Amazon Web Services (AWS) környezetekhez, valamint MySQL és PostgreSQL adatbázisokhoz való csatlakozási beállításokat.
Érdekes, hogy hasonló adatlopásokat az API-n keresztül a kutatók 2015-ben és 2019-ben is észleltek. A korábbi incidensek után a Travis vállalat bizonyos korlátozásokat vezetett be, hogy megnehezítse az adatok tömeges letöltését, és csökkentette az API-hoz való hozzáférést, de ezeket a korlátozásokat sikerült megkerülni. Ezen túlmenően a Travis próbálkozása a naplókban található érzékeny adatok kitakarítására részlegesen sikerült.
A szivárgás főként azokat a felhasználókat érintette, akik nyílt projekteket futtatnak, és a Travis ingyenes hozzáférést biztosít a folyamatos integrációs szolgáltatásához. Néhány szolgáltató által végzett ellenőrzés során megerősítették, hogy a naplóból nyert tokenek és kulcsok körülbelül fele még mindig működőképes. Mindenkinek, aki a Travis CI ingyenes verzióját használja, sürgősen meg kell változtatnia a hozzáférési kulcsait, valamint be kell állítania a build naplók törlését, és ellenőriznie kell a bizalmas adatok naplózásának hiányát.
Forrás: opennet.ru
