ട്രാവിസ് സിഐ പബ്ലിക് റിപ്പോസിറ്ററി കീകൾ ചോർത്തുന്നതിലെ അപകടസാധ്യത

GitHub, Bitbucket എന്നിവയിൽ വികസിപ്പിച്ചെടുത്ത പ്രോജക്‌റ്റുകൾ പരിശോധിക്കുന്നതിനും നിർമ്മിക്കുന്നതിനുമായി രൂപകൽപ്പന ചെയ്‌തിരിക്കുന്ന ട്രാവിസ് സിഐ തുടർച്ചയായ സംയോജന സേവനത്തിൽ ഒരു സുരക്ഷാ പ്രശ്‌നം (CVE-2021-41077) തിരിച്ചറിഞ്ഞു, ഇത് ട്രാവിസ് സിഐ ഉപയോഗിക്കുന്ന പബ്ലിക് റിപ്പോസിറ്ററികളിലെ സെൻസിറ്റീവ് എൻവയോൺമെന്റ് വേരിയബിളുകളുടെ ഉള്ളടക്കം വെളിപ്പെടുത്താൻ അനുവദിക്കുന്നു. . മറ്റ് കാര്യങ്ങളിൽ, ഡിജിറ്റൽ സിഗ്‌നേച്ചറുകൾ, ആക്‌സസ് കീകൾ, API ആക്‌സസ് ചെയ്യുന്നതിനുള്ള ടോക്കണുകൾ എന്നിവ സൃഷ്‌ടിക്കുന്നതിന് ട്രാവിസ് സിഐയിൽ ഉപയോഗിക്കുന്ന കീകൾ കണ്ടെത്താൻ ദുർബലത നിങ്ങളെ അനുവദിക്കുന്നു.

സെപ്തംബർ 3 മുതൽ 10 വരെ ട്രാവിസ് സിഐയിൽ പ്രശ്നമുണ്ടായിരുന്നു. സെപ്തംബർ 7 ന് അപകടസാധ്യതയെക്കുറിച്ചുള്ള വിവരങ്ങൾ ഡെവലപ്പർമാർക്ക് കൈമാറിയെന്നത് ശ്രദ്ധേയമാണ്, എന്നാൽ പ്രതികരണമായി അവർക്ക് കീ റൊട്ടേഷൻ ഉപയോഗിക്കാനുള്ള ശുപാർശയുള്ള ഒരു മറുപടി മാത്രമാണ് ലഭിച്ചത്. മതിയായ ഫീഡ്‌ബാക്ക് ലഭിക്കാത്തതിനെത്തുടർന്ന്, ഗവേഷകർ GitHub-നെ ബന്ധപ്പെടുകയും ട്രാവിസിനെ ബ്ലാക്ക്‌ലിസ്റ്റ് ചെയ്യാൻ നിർദ്ദേശിക്കുകയും ചെയ്തു. വിവിധ പദ്ധതികളിൽ നിന്ന് നിരവധി പരാതികൾ ലഭിച്ചതിനെത്തുടർന്ന് സെപ്റ്റംബർ 10 ന് മാത്രമാണ് തകരാർ പരിഹരിച്ചത്. സംഭവത്തിന് ശേഷം, ട്രാവിസ് സിഐ വെബ്‌സൈറ്റിൽ പ്രശ്‌നത്തെക്കുറിച്ചുള്ള വിചിത്രമായ ഒരു റിപ്പോർട്ട് പ്രസിദ്ധീകരിച്ചു, അപകടസാധ്യത പരിഹരിക്കുന്നതിനെക്കുറിച്ച് അറിയിക്കുന്നതിനുപകരം, ആക്‌സസ് കീകൾ ചാക്രികമായി മാറ്റുന്നതിനുള്ള സന്ദർഭത്തിന് പുറത്തുള്ള നിർദ്ദേശം മാത്രമേ അതിൽ അടങ്ങിയിട്ടുള്ളൂ.

നിരവധി വൻകിട പ്രോജക്റ്റുകൾ മറച്ചുവെച്ചതിനെ തുടർന്നുള്ള പ്രതിഷേധത്തെത്തുടർന്ന്, ട്രാവിസ് സിഐ സപ്പോർട്ട് ഫോറത്തിൽ കൂടുതൽ വിശദമായ റിപ്പോർട്ട് പ്രസിദ്ധീകരിച്ചു, ഏതെങ്കിലും പൊതു ശേഖരണത്തിന്റെ ഒരു ഫോർക്കിന്റെ ഉടമയ്ക്ക് ഒരു പുൾ അഭ്യർത്ഥന സമർപ്പിച്ച് നിർമ്മാണ പ്രക്രിയ ട്രിഗർ ചെയ്യാനും നേട്ടമുണ്ടാക്കാനും കഴിയുമെന്ന് മുന്നറിയിപ്പ് നൽകി. ഒറിജിനൽ റിപ്പോസിറ്ററിയുടെ സെൻസിറ്റീവ് എൻവയോൺമെന്റ് വേരിയബിളുകളിലേക്കുള്ള അനധികൃത ആക്‌സസ്. , അസംബ്ലി സമയത്ത് “.travis.yml” ഫയലിൽ നിന്നുള്ള ഫീൽഡുകളെ അടിസ്ഥാനമാക്കി സജ്ജീകരിച്ചിരിക്കുന്നു അല്ലെങ്കിൽ ട്രാവിസ് സിഐ വെബ് ഇന്റർഫേസ് വഴി നിർവചിച്ചിരിക്കുന്നു. അത്തരം വേരിയബിളുകൾ എൻക്രിപ്റ്റ് ചെയ്ത രൂപത്തിൽ സൂക്ഷിക്കുകയും അസംബ്ലി സമയത്ത് മാത്രം ഡീക്രിപ്റ്റ് ചെയ്യുകയും ചെയ്യുന്നു. ഫോർക്കുകളുള്ള പൊതുവായി ആക്‌സസ് ചെയ്യാവുന്ന ശേഖരണങ്ങളെ മാത്രമേ പ്രശ്‌നം ബാധിച്ചിട്ടുള്ളൂ (സ്വകാര്യ ശേഖരണങ്ങൾ ആക്രമണത്തിന് വിധേയമല്ല).

അവലംബം: opennet.ru