ភាពងាយរងគ្រោះនៅក្នុង Travis CI លេចធ្លាយសោឃ្លាំងសាធារណៈ

បញ្ហាសុវត្ថិភាព (CVE-2021-41077) ត្រូវបានកំណត់អត្តសញ្ញាណនៅក្នុងសេវាកម្មរួមបញ្ចូលជាបន្តបន្ទាប់ Travis CI ដែលត្រូវបានរចនាឡើងដើម្បីសាកល្បង និងបង្កើតគម្រោងដែលត្រូវបានបង្កើតឡើងនៅលើ GitHub និង Bitbucket ដែលអនុញ្ញាតឱ្យអ្នកស្វែងរកខ្លឹមសារនៃអថេរបរិស្ថានសម្ងាត់នៃឃ្លាំងសាធារណៈដោយប្រើ Travis ស៊ីអាយ. ក្នុងចំណោមរបស់ផ្សេងទៀត ភាពងាយរងគ្រោះអនុញ្ញាតឱ្យអ្នកស្វែងរកសោដែលប្រើក្នុង Travis CI សម្រាប់បង្កើតហត្ថលេខាឌីជីថល សោចូលប្រើប្រាស់ និងសញ្ញាសម្ងាត់សម្រាប់ចូលប្រើ API ។

បញ្ហានេះមានវត្តមាននៅក្នុង Travis CI ចាប់ពីថ្ងៃទី 3 ដល់ថ្ងៃទី 10 ខែកញ្ញា។ គួរកត់សម្គាល់ថាព័ត៌មានអំពីភាពងាយរងគ្រោះត្រូវបានផ្ញើទៅអ្នកអភិវឌ្ឍន៍នៅថ្ងៃទី 7 ខែកញ្ញា ប៉ុន្តែមានតែការឆ្លើយតបប៉ុណ្ណោះដែលត្រូវបានទទួលជាមួយនឹងការណែនាំដើម្បីប្រើការបង្វិលគ្រាប់ចុច។ មិនទទួលបានមតិកែលម្អត្រឹមត្រូវ អ្នកស្រាវជ្រាវបានទាក់ទង GitHub ហើយផ្តល់ជូនក្នុងបញ្ជីខ្មៅ Travis ។ បញ្ហា​នេះ​ត្រូវ​បាន​ដោះស្រាយ​តែ​នៅ​ថ្ងៃ​ទី ១០ ខែ​កញ្ញា​ប៉ុណ្ណោះ​បន្ទាប់​ពី​មាន​ការ​ត្អូញត្អែរ​ជា​ច្រើន​ដែល​ទទួល​បាន​ពី​គម្រោង​ផ្សេងៗ។ បន្ទាប់ពីឧបទ្ទវហេតុនេះ របាយការណ៍បញ្ហាចម្លែកមួយត្រូវបានបោះពុម្ពនៅលើគេហទំព័រ Travis CI ដែលជំនួសឱ្យការជូនដំណឹងអំពីការជួសជុលភាពងាយរងគ្រោះនោះ មានតែការណែនាំក្រៅបរិបទប៉ុណ្ណោះ ដើម្បីបង្វិលសោចូលប្រើប្រាស់។

បន្ទាប់ពីមានការខឹងសម្បារចំពោះការកាត់ទុកព័ត៌មានដោយគម្រោងធំៗមួយចំនួន របាយការណ៍លម្អិតបន្ថែមទៀតត្រូវបានបង្ហោះនៅលើវេទិកាគាំទ្រ Travis CI ដោយព្រមានថាម្ចាស់សមនៃឃ្លាំងសាធារណៈណាមួយដោយការបញ្ជូនសំណើទាញអាចចាប់ផ្តើមដំណើរការសាងសង់ និងទទួលបានសិទ្ធិចូលប្រើប្រាស់ដោយគ្មានការអនុញ្ញាត។ ទៅអថេរបរិស្ថានសម្ងាត់នៃឃ្លាំងដើម កំណត់ពេលបង្កើតដោយផ្អែកលើវាលពីឯកសារ ".travis.yml" ឬកំណត់តាមរយៈចំណុចប្រទាក់បណ្ដាញ Travis CI ។ អថេរបែបនេះត្រូវបានរក្សាទុកក្នុងទម្រង់ដែលបានអ៊ិនគ្រីប ហើយត្រូវបានឌិគ្រីបតែនៅពេលសាងសង់ប៉ុណ្ណោះ។ បញ្ហានេះប៉ះពាល់តែឃ្លាំងដែលអាចចូលប្រើជាសាធារណៈដែលមានសម (ឃ្លាំងឯកជនមិនត្រូវបានវាយប្រហារ)

ប្រភព: opennet.ru