{"id":104377,"date":"2022-06-13T21:36:53","date_gmt":"2022-06-13T19:36:53","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov"},"modified":"2022-06-13T21:36:53","modified_gmt":"2022-06-13T19:36:53","slug":"v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/news\/v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov","title":{"rendered":"Nei log pubblici di Travis CI sono stati identificati circa 73 mila token e password di progetti open source.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
L'azienda Aqua Security ha pubblicato i risultati di uno studio sulla presenza di dati riservati nei log di build, disponibili pubblicamente nel sistema di integrazione continua Travis CI. I ricercatori hanno trovato un modo per estrarre 770 milioni di log di vari progetti. In un caricamento di prova di 8 milioni di log, sono stati identificati circa 73.000 token, credenziali e chiavi di accesso collegate a diversi servizi popolari, tra cui GitHub, AWS e Docker Hub. Le informazioni scoperte possono compromettere l'infrastruttura di molti progetti open source, ad esempio, una fuga simile ha recentemente portato all'hacking dell'infrastruttura del progetto NPM. <\/p>\n
La fuga \u00e8 correlata alla possibilit\u00e0 di accedere ai log degli utenti del servizio gratuito Travis CI tramite l'API standard (ad esempio, un log di compilazione pu\u00f2 essere scaricato tramite un URL del tipo \"https:\/\/api.travis-ci.org\/v3\/job\/5248126\/log.txt\", dove il numero 5248126 \u00e8 l'identificativo del log). Per determinare l'intervallo degli identificatori di log possibili \u00e8 stata utilizzata un'altra API (\"https:\/\/api.travis-ci.org\/logs\/6976822\"), che fornisce un reindirizzamento per scaricare il log per numero progressivo. Attraverso un metodo di scansione, nel corso della ricerca \u00e8 stato possibile determinare senza autenticazione circa 770 milioni di log, creati dal 2013 a maggio 2022 durante la compilazione di progetti rientranti nel piano tariffario gratuito. <\/p>\n
L'analisi di un campione di prova ha mostrato che, in molti casi, i log contengono in chiaro parametri di accesso a repository, API e archivi, sufficienti per accedere a repository privati, apportare modifiche al codice o connettersi agli ambienti cloud utilizzati nell'infrastruttura. Ad esempio, nei log sono stati trovati token per connettersi a repository su GitHub, password per il deployment di build su Docker Hub, chiavi di accesso agli ambienti di Amazon Web Services (AWS), parametri di connessione ai database MySQL e PostgreSQL. <\/p>\n
\u00c8 interessante notare che fughe simili attraverso l'API sono state registrate dai ricercatori nel 2015 e nel 2019. Dopo i passati incidenti, l'azienda Travis ha introdotto alcune restrizioni per rendere pi\u00f9 difficile il download massivo dei dati e ha limitato l'accesso all'API, ma queste restrizioni sono state aggirate. Inoltre, Travis ha tentato di ripulire i dati riservati nei log, ma la pulizia \u00e8 stata parziale. <\/p>\n
La fuga ha colpito principalmente gli utenti di progetti pubblici a cui Travis offre accesso gratuito al suo servizio di integrazione continua. Durante un controllo effettuato da alcuni fornitori di servizi, \u00e8 stato confermato che circa la met\u00e0 dei token e delle chiavi estratti dai log rimangono attivi. Si raccomanda a tutti gli utenti della versione gratuita del servizio Travis CI di cambiare immediatamente le chiavi di accesso, di configurare l'eliminazione dei log di build e di verificare l'assenza di dati sensibili nei log. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"