L'azienda Aqua Security ha pubblicato i risultati di uno studio sulla presenza di dati riservati nei log di build, accessibili pubblicamente nel sistema di integrazione continua Travis CI. I ricercatori hanno trovato un modo per estrarre 770 milioni di log di vari progetti. Durante un caricamento di prova di 8 milioni di log, sono state trovate circa 73.000 chiavi, credenziali e token di accesso legati a diversi servizi popolari, tra cui GitHub, AWS e Docker Hub. Le informazioni scoperte possono compromettere l'infrastruttura di molti progetti open source; ad esempio, una fuga simile ha recentemente portato al compromesso dell'infrastruttura del progetto NPM.
La fuga è collegata alla possibilità di accedere ai log degli utenti del servizio gratuito Travis CI tramite l'API pubblica (ad esempio, il log di una build può essere scaricato tramite un URL del tipo "https://api.travis-ci.org/v3/job/5248126/log.txt", dove il numero 5248126 è l'identificativo del log). Per determinare l'intervallo dei possibili identificatori dei log è stata utilizzata un'altra API ("https://api.travis-ci.org/logs/6976822"), che fornisce un reindirizzamento per il download del log in base al numero sequenziale. Attraverso un metodo di brute force, nella ricerca è stato possibile identificare circa 770 milioni di log, creati dal 2013 a maggio 2022, durante la build di progetti che rientravano nel piano tariffario gratuito.
L'analisi del campione di test ha rivelato che in molti casi nel log sono visibili parametri di accesso a repository, API e archivi, sufficienti per accedere a repository privati, apportare modifiche al codice o connettersi a ambienti cloud utilizzati nell'infrastruttura. Ad esempio, nei log sono stati trovati token per la connessione ai repository su GitHub, password per il deployment di build su Docker Hub, chiavi per l'accesso agli ambienti Amazon Web Services (AWS), e parametri di connessione per i database MySQL e PostgreSQL.
È interessante notare che fughe di dati simili attraverso le API sono state segnalate dai ricercatori nel 2015 e nel 2019. Dopo i precedenti incidenti, la società Travis ha introdotto alcune restrizioni per complicare il caricamento massiccio di dati e ha limitato l'accesso alle API, ma tali restrizioni sono state eluse. Inoltre, la Travis ha tentato di ripulire i dati riservati dai log, ma l'operazione è stata solo parzialmente efficace.
La fuga ha colpito in particolare gli utenti di progetti open source a cui Travis offre accesso gratuito al suo servizio di integrazione continua. Durante una verifica condotta da alcuni fornitori di servizi, è stato confermato che circa la metà dei token e delle chiavi estratti dai log rimangono operativi. Si raccomanda a tutti gli utenti della versione gratuita del servizio Travis CI di cambiare urgentemente le chiavi di accesso, nonché di impostare la cancellazione dei log di build e di controllare l'assenza di output nei log di dati riservati.
Fonte: opennet.ru
