ຊ່ອງໂຫວ່ໃນ Travis CI ນໍາໄປສູ່ການຮົ່ວໄຫຼຂອງກະແຈບ່ອນເກັບຂໍ້ມູນສາທາລະນະ

ບັນຫາຄວາມປອດໄພ (CVE-2021-41077) ໄດ້ຖືກລະບຸໄວ້ໃນການບໍລິການປະສົມປະສານຢ່າງຕໍ່ເນື່ອງ Travis CI, ອອກແບບມາເພື່ອການທົດສອບ ແລະໂຄງການກໍ່ສ້າງທີ່ພັດທະນາໃນ GitHub ແລະ Bitbucket, ເຊິ່ງອະນຸຍາດໃຫ້ເນື້ອຫາຂອງຕົວແປສະພາບແວດລ້ອມທີ່ລະອຽດອ່ອນຂອງບ່ອນເກັບມ້ຽນສາທາລະນະໂດຍໃຊ້ Travis CI ເປີດເຜີຍ. . ໃນບັນດາສິ່ງອື່ນໆ, ຊ່ອງໂຫວ່ອະນຸຍາດໃຫ້ທ່ານຊອກຫາກະແຈທີ່ໃຊ້ໃນ Travis CI ສໍາລັບການສ້າງລາຍເຊັນດິຈິຕອນ, ກະແຈການເຂົ້າເຖິງແລະ tokens ສໍາລັບການເຂົ້າເຖິງ API.

ບັນຫາດັ່ງກ່າວມີຢູ່ໃນ Travis CI ແຕ່ວັນທີ 3 ຫາວັນທີ 10 ກັນຍາ. ມັນເປັນທີ່ສັງເກດວ່າຂໍ້ມູນກ່ຽວກັບຄວາມອ່ອນແອໄດ້ຖືກສົ່ງກັບຜູ້ພັດທະນາໃນວັນທີ 7 ເດືອນກັນຍາ, ແຕ່ໃນການຕອບໂຕ້ພວກເຂົາພຽງແຕ່ໄດ້ຮັບການຕອບສະຫນອງກັບຄໍາແນະນໍາທີ່ຈະນໍາໃຊ້ການຫມຸນທີ່ສໍາຄັນ. ໂດຍບໍ່ໄດ້ຮັບຄໍາຄຶດຄໍາເຫັນທີ່ພຽງພໍ, ນັກຄົ້ນຄວ້າໄດ້ຕິດຕໍ່ກັບ GitHub ແລະສະເຫນີບັນຊີດໍາ Travis. ບັນຫາດັ່ງກ່າວໄດ້ຮັບການແກ້ໄຂພຽງແຕ່ໃນວັນທີ 10 ເດືອນກັນຍາຫຼັງຈາກໄດ້ຮັບຄໍາຮ້ອງທຸກຢ່າງຫຼວງຫຼາຍຈາກໂຄງການຕ່າງໆ. ຫຼັງຈາກເຫດການດັ່ງກ່າວ, ບົດລາຍງານທີ່ແປກປະຫຼາດກວ່າກ່ຽວກັບບັນຫາໄດ້ຖືກຈັດພີມມາຢູ່ໃນເວັບໄຊທ໌ Travis CI, ເຊິ່ງແທນທີ່ຈະແຈ້ງໃຫ້ຊາບກ່ຽວກັບການແກ້ໄຂສໍາລັບຊ່ອງໂຫວ່, ພຽງແຕ່ມີຄໍາແນະນໍານອກສະພາບການເພື່ອປ່ຽນລະຫັດການເຂົ້າເຖິງເປັນວົງຈອນ.

ຫຼັງຈາກການຮ້ອງຟ້ອງກ່ຽວກັບການປົກຫຸ້ມຂອງໂຄງການຂະຫນາດໃຫຍ່ຈໍານວນຫນຶ່ງ, ບົດລາຍງານລາຍລະອຽດເພີ່ມເຕີມໄດ້ຖືກຈັດພີມມາຢູ່ໃນເວທີສະຫນັບສະຫນູນ Travis CI, ເຕືອນວ່າເຈົ້າຂອງຂອງສ້ອມຂອງ repository ສາທາລະນະສາມາດ, ໂດຍການສົ່ງຄໍາຮ້ອງຂໍດຶງ, ກະຕຸ້ນຂະບວນການສ້າງແລະໄດ້ຮັບ. ການ​ເຂົ້າ​ເຖິງ​ໂດຍ​ບໍ່​ໄດ້​ຮັບ​ອະ​ນຸ​ຍາດ​ກັບ​ຕົວ​ແປ​ສະ​ພາບ​ແວດ​ລ້ອມ​ທີ່​ລະ​ອຽດ​ອ່ອນ​ຂອງ repository ຕົ້ນ​ສະ​ບັບ​. ຕົວແປດັ່ງກ່າວຖືກເກັບໄວ້ໃນຮູບແບບທີ່ຖືກເຂົ້າລະຫັດແລະຖືກຖອດລະຫັດພຽງແຕ່ໃນລະຫວ່າງການປະກອບ. ບັນຫາດັ່ງກ່າວມີຜົນກະທົບພຽງແຕ່ repositories ທີ່ສາມາດເຂົ້າເຖິງສາທາລະນະທີ່ມີ fork (repositories ເອກະຊົນແມ່ນບໍ່ອ່ອນໄຫວຕໍ່ກັບການໂຈມຕີ).

ແຫຼ່ງຂໍ້ມູນ: opennet.ru