{"id":101282,"date":"2021-09-17T04:22:36","date_gmt":"2021-09-17T02:22:36","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-travis-ci-privodyashhaya-k-utechke-klyuchej-publichnyh-repozitoriev"},"modified":"2021-09-17T04:22:36","modified_gmt":"2021-09-17T02:22:36","slug":"uyazvimost-v-travis-ci-privodyashhaya-k-utechke-klyuchej-publichnyh-repozitoriev","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/uyazvimost-v-travis-ci-privodyashhaya-k-utechke-klyuchej-publichnyh-repozitoriev","title":{"rendered":"Vulnerabilit\u00e0 in Travis CI che porta alla fuga di chiavi nei repository pubblici","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nel servizio di integrazione continua Travis CI, progettato per il test e la costruzione di progetti sviluppati su GitHub e Bitbucket, \u00e8 stata rilevata una vulnerabilit\u00e0 di sicurezza (CVE-2021-41077) che consente di rivelare il contenuto delle variabili ambientali riservate nei repository pubblici che utilizzano Travis CI. Tra l'altro, la vulnerabilit\u00e0 permette di scoprire le chiavi utilizzate in Travis CI per la generazione di firme digitali, chiavi di accesso e token per l'interazione con l'API. <\/p>\n
Il problema \u00e8 stato presente in Travis CI dal 3 al 10 settembre. \u00c8 interessante notare che le informazioni sulla vulnerabilit\u00e0 sono state comunicate agli sviluppatori il 7 settembre, ma in risposta \u00e8 stata ricevuta solo una nota di cortesia con la raccomandazione di utilizzare la rotazione delle chiavi. Non ricevendo un feedback adeguato, i ricercatori hanno contattato GitHub e hanno proposto di mettere Travis nella lista nera. Il problema \u00e8 stato risolto solo il 10 settembre dopo un gran numero di lamentele ricevute da vari progetti. Dopo l'incidente, sul sito dell'azienda Travis CI \u00e8 stato pubblicato un rapporto piuttosto strano sul problema, in cui anzich\u00e9 informare sulla correzione della vulnerabilit\u00e0, era contenuta solo la raccomandazione, fuori contesto, di cambiare ciclicamente le chiavi di accesso. <\/p>\n
Dopo le preoccupazioni sollevate per la mancata divulgazione di informazioni da parte di alcuni grandi progetti, \u00e8 stato pubblicato un report pi\u00f9 dettagliato nel forum di supporto di Travis CI, che avvertiva che il proprietario di un fork di qualsiasi repository pubblico, tramite l'invio di una pull request, potrebbe avviare il processo di compilazione e ottenere accesso non autorizzato a variabili ambientali riservate del repository sorgente, esposte durante la compilazione basandosi sui campi del file \u00ab.travis.yml\u00bb o definite tramite l'interfaccia web di Travis CI. Tali variabili vengono conservate in forma cifrata e decifrate solo durante la compilazione. Il problema riguardava solo i repository pubblici accessibili che hanno dei fork (i repository privati non sono vulnerabili a questo attacco). \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"