공개 저장소 키 유출로 이어지는 Travis CI의 취약점

GitHub 및 Bitbucket에서 개발된 프로젝트를 테스트하고 구축하기 위해 설계된 Travis CI 지속적 통합 서비스에서 보안 문제(CVE-2021-41077)가 확인되었습니다. 이를 통해 Travis CI를 사용하는 공용 저장소의 민감한 환경 변수 내용이 공개될 수 있습니다. . 무엇보다도 이 취약점을 통해 Travis CI에서 디지털 서명을 생성하는 데 사용되는 키, API에 액세스하기 위한 액세스 키 및 토큰을 찾을 수 있습니다.

해당 문제는 3월 10일부터 7월 10일까지 Travis CI에서 발생했습니다. 취약점에 대한 정보가 XNUMX월 XNUMX일 개발자에게 전달되었으나 이에 대한 응답으로 키 순환 사용을 권장하는 답변만 받았다는 점이 주목할 만합니다. 적절한 피드백을 받지 못한 연구원들은 GitHub에 연락하여 Travis를 블랙리스트에 올릴 것을 제안했습니다. 이 문제는 다양한 프로젝트에서 많은 불만이 접수된 후 XNUMX월 XNUMX일에야 해결되었습니다. 사건 이후 Travis CI 웹사이트에는 문제에 대한 이상한 보고서가 게시되었습니다. 이 보고서에는 취약점에 대한 수정 사항을 알리는 대신 주기적으로 액세스 키를 변경하라는 컨텍스트 외 권장 사항만 포함되어 있었습니다.

여러 대규모 프로젝트의 은폐에 대한 항의에 이어 Travis CI 지원 포럼에 더 자세한 보고서가 게시되었습니다. 이는 공개 저장소의 포크 소유자가 풀 요청을 제출함으로써 빌드 프로세스를 시작하고 이익을 얻을 수 있다고 경고했습니다. 원본 저장소의 민감한 환경 변수에 대한 무단 액세스. ".travis.yml" 파일의 필드를 기반으로 어셈블리 중에 설정되거나 Travis CI 웹 인터페이스를 통해 정의됩니다. 이러한 변수는 암호화된 형식으로 저장되며 어셈블리 중에만 해독됩니다. 이 문제는 포크가 있는 공개적으로 액세스 가능한 저장소에만 영향을 미쳤습니다(개인 저장소는 공격에 취약하지 않음).

출처 : opennet.ru