פגיעות ב-Travis CI המובילה לדליפה של מפתחות מאגר ציבוריים

בעיית אבטחה (CVE-2021-41077) זוהתה בשירות האינטגרציה הרציפה של Travis CI, המיועד לבדיקה ובניית פרויקטים שפותחו ב-GitHub וב-Bitbucket, המאפשר לחשוף את התוכן של משתני סביבה רגישים של מאגרים ציבוריים המשתמשים ב-Travis CI . בין היתר, הפגיעות מאפשרת לגלות את המפתחות המשמשים ב-Travis CI להפקת חתימות דיגיטליות, מפתחות גישה ואסימונים לגישה ל-API.

הבעיה הייתה קיימת ב-Travis CI מה-3 בספטמבר עד ה-10 בספטמבר. ראוי לציין שמידע על הפגיעות הועבר למפתחים ב-7 בספטמבר, אך בתגובה הם קיבלו רק תשובה עם המלצה להשתמש בסיבוב מפתח. לאחר שלא קיבלו משוב הולם, החוקרים יצרו קשר עם GitHub והציעו להכניס את Travis לרשימה השחורה. התקלה תוקנה רק ב-10 בספטמבר לאחר מספר רב של תלונות שהתקבלו מפרויקטים שונים. לאחר התקרית פורסם דיווח יותר ממוזר על הבעיה באתר Travis CI, שבמקום ליידע על תיקון של הפגיעות, הכיל רק המלצה מחוץ להקשר לשנות מפתחות גישה באופן מחזורי.

בעקבות זעקה על הכיסוי של כמה פרויקטים גדולים, פורסם דוח מפורט יותר בפורום התמיכה של Travis CI, שהזהיר כי הבעלים של מזלג של כל מאגר ציבורי יכול, על ידי הגשת בקשת משיכה, להפעיל את תהליך הבנייה ולהרוויח גישה לא מורשית למשתני סביבה רגישים של המאגר המקורי. , מוגדרת במהלך ההרכבה על סמך שדות מקובץ ".travis.yml" או מוגדרים דרך ממשק האינטרנט של Travis CI. משתנים כאלה מאוחסנים בצורה מוצפנת ומפוענחים רק במהלך ההרכבה. הבעיה השפיעה רק על מאגרים נגישים לציבור שיש להם מזלגות (מאגרים פרטיים אינם רגישים להתקפות).

מקור: OpenNet.ru