L'azienda Aqua Security ha pubblicato i risultati di uno studio sulla presenza di dati riservati nei log di build, disponibili pubblicamente nel sistema di integrazione continua Travis CI. I ricercatori hanno trovato un modo per estrarre 770 milioni di log di vari progetti. In un caricamento di prova di 8 milioni di log, sono stati identificati circa 73.000 token, credenziali e chiavi di accesso collegate a diversi servizi popolari, tra cui GitHub, AWS e Docker Hub. Le informazioni scoperte possono compromettere l'infrastruttura di molti progetti open source, ad esempio, una fuga simile ha recentemente portato all'hacking dell'infrastruttura del progetto NPM.
La fuga è legata alla possibilità di accedere ai log degli utenti del servizio gratuito Travis CI tramite l'API standard (ad esempio, un log di build può essere scaricato attraverso un URL del tipo «https://api.travis-ci.org/v3/job/5248126/log.txt», dove il numero 5248126 è l'identificatore del log). Per determinare l'intervallo possibile degli identificatori dei log è stata utilizzata un'altra API («https://api.travis-ci.org/logs/6976822»), che fornisce un reindirizzamento per il download del log in base al numero progressivo. Attraverso un'analisi esaustiva, è stato possibile identificare senza autenticazione circa 770 milioni di log, creati dal 2013 a maggio 2022 durante la build di progetti rientranti nel piano tariffario gratuito.
L'analisi di un campione di prova ha mostrato che, in molti casi, i log contengono in chiaro parametri di accesso a repository, API e archivi, sufficienti per accedere a repository privati, apportare modifiche al codice o connettersi agli ambienti cloud utilizzati nell'infrastruttura. Ad esempio, nei log sono stati trovati token per connettersi a repository su GitHub, password per il deployment di build su Docker Hub, chiavi di accesso agli ambienti di Amazon Web Services (AWS), parametri di connessione ai database MySQL e PostgreSQL.
È interessante notare che fughe simili attraverso l'API sono state registrate dai ricercatori nel 2015 e nel 2019. Dopo i passati incidenti, l'azienda Travis ha introdotto alcune restrizioni per rendere più difficile il download massivo dei dati e ha limitato l'accesso all'API, ma queste restrizioni sono state aggirate. Inoltre, Travis ha tentato di ripulire i dati riservati nei log, ma la pulizia è stata parziale.
La fuga ha colpito principalmente gli utenti di progetti pubblici a cui Travis offre accesso gratuito al suo servizio di integrazione continua. Durante un controllo effettuato da alcuni fornitori di servizi, è stato confermato che circa la metà dei token e delle chiavi estratti dai log rimangono attivi. Si raccomanda a tutti gli utenti della versione gratuita del servizio Travis CI di cambiare immediatamente le chiavi di accesso, di configurare l'eliminazione dei log di build e di verificare l'assenza di dati sensibili nei log.
Fonte: opennet.ru
