{"id":104377,"date":"2022-06-13T21:36:53","date_gmt":"2022-06-13T19:36:53","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov"},"modified":"2022-06-13T21:36:53","modified_gmt":"2022-06-13T19:36:53","slug":"v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov","title":{"rendered":"Nei log pubblici di Travis CI sono stati rilevati circa 73.000 token e password di progetti aperti.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
L'azienda Aqua Security ha pubblicato i risultati di uno studio sulla presenza di dati riservati nei log di build, accessibili pubblicamente nel sistema di integrazione continua Travis CI. I ricercatori hanno trovato un modo per estrarre 770 milioni di log di vari progetti. Durante un caricamento di prova di 8 milioni di log, sono state trovate circa 73.000 chiavi, credenziali e token di accesso legati a diversi servizi popolari, tra cui GitHub, AWS e Docker Hub. Le informazioni scoperte possono compromettere l'infrastruttura di molti progetti open source; ad esempio, una fuga simile ha recentemente portato al compromesso dell'infrastruttura del progetto NPM. <\/p>\n
La violazione \u00e8 legata alla possibilit\u00e0 di accedere ai log degli utenti del servizio gratuito Travis CI tramite l'API ufficiale (ad esempio, un log di build pu\u00f2 essere scaricato tramite un URL del tipo \"https:\/\/api.travis-ci.org\/v3\/job\/5248126\/log.txt\", dove il numero 5248126 \u00e8 l'identificatore del log). Per determinare l'intervallo di possibili identificatori di log \u00e8 stata utilizzata un'altra API (\"https:\/\/api.travis-ci.org\/logs\/6976822\"), che consente il reindirizzamento per scaricare il log in base al numero di serie. Utilizzando un metodo di brute force durante la ricerca, \u00e8 stato possibile identificare senza autenticazione circa 770 milioni di log creati dal 2013 a maggio 2022 durante le build di progetti rientranti nel piano tariffario gratuito. <\/p>\n
L'analisi del campione di test ha rivelato che in molti casi nel log sono visibili parametri di accesso a repository, API e archivi, sufficienti per accedere a repository privati, apportare modifiche al codice o connettersi a ambienti cloud utilizzati nell'infrastruttura. Ad esempio, nei log sono stati trovati token per la connessione ai repository su GitHub, password per il deployment di build su Docker Hub, chiavi per l'accesso agli ambienti Amazon Web Services (AWS), e parametri di connessione per i database MySQL e PostgreSQL. <\/p>\n
\u00c8 interessante notare che fughe di dati simili attraverso le API sono state segnalate dai ricercatori nel 2015 e nel 2019. Dopo i precedenti incidenti, la societ\u00e0 Travis ha introdotto alcune restrizioni per complicare il caricamento massiccio di dati e ha limitato l'accesso alle API, ma tali restrizioni sono state eluse. Inoltre, la Travis ha tentato di ripulire i dati riservati dai log, ma l'operazione \u00e8 stata solo parzialmente efficace. <\/p>\n
La fuga ha colpito in particolare gli utenti di progetti open source a cui Travis offre accesso gratuito al suo servizio di integrazione continua. Durante una verifica condotta da alcuni fornitori di servizi, \u00e8 stato confermato che circa la met\u00e0 dei token e delle chiavi estratti dai log rimangono operativi. Si raccomanda a tutti gli utenti della versione gratuita del servizio Travis CI di cambiare urgentemente le chiavi di accesso, nonch\u00e9 di impostare la cancellazione dei log di build e di controllare l'assenza di output nei log di dati riservati. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"