ट्रॅव्हिस सीआय मधील असुरक्षा सार्वजनिक भांडार की लीक करणे

ट्रॅव्हिस CI सतत एकत्रीकरण सेवेमध्ये एक सुरक्षा समस्या (CVE-2021-41077) ओळखली गेली आहे, जी GitHub आणि Bitbucket वर विकसित केलेल्या प्रकल्पांची चाचणी आणि बिल्डिंगसाठी डिझाइन केलेली आहे, जी ट्रॅव्हिस CI वापरून सार्वजनिक भांडारांच्या संवेदनशील पर्यावरणीय चलांची सामग्री उघड करण्यास अनुमती देते. . इतर गोष्टींबरोबरच, भेद्यता तुम्हाला ट्रॅव्हिस CI मध्ये डिजिटल स्वाक्षरी, ऍक्सेस की आणि API मध्ये प्रवेश करण्यासाठी टोकन तयार करण्यासाठी वापरलेल्या की शोधण्याची परवानगी देते.

ट्रॅव्हिस सीआयमध्ये 3 सप्टेंबर ते 10 सप्टेंबरपर्यंत समस्या उपस्थित होती. हे लक्षात घेण्यासारखे आहे की असुरक्षिततेची माहिती 7 सप्टेंबर रोजी विकसकांना प्रसारित करण्यात आली होती, परंतु प्रतिसादात त्यांना फक्त की रोटेशन वापरण्याच्या शिफारसीसह उत्तर मिळाले. पुरेसा अभिप्राय न मिळाल्याने, संशोधकांनी गिटहबशी संपर्क साधला आणि ट्रॅव्हिसला ब्लॅकलिस्ट करण्याचा प्रस्ताव दिला. विविध प्रकल्पांबाबत मोठ्या प्रमाणात तक्रारी आल्यानंतर 10 सप्टेंबर रोजीच ही समस्या दूर करण्यात आली. या घटनेनंतर, ट्रॅव्हिस सीआय वेबसाइटवर समस्येबद्दल एक विचित्र अहवाल प्रकाशित करण्यात आला, ज्यामध्ये असुरक्षिततेच्या निराकरणाबद्दल माहिती देण्याऐवजी, प्रवेश की चक्रीयपणे बदलण्याची केवळ संदर्भाबाहेरची शिफारस होती.

अनेक मोठ्या प्रकल्पांच्या कव्हर-अपवर झालेल्या आक्रोशानंतर, ट्रॅव्हिस सीआय सपोर्ट फोरमवर अधिक तपशीलवार अहवाल प्रकाशित करण्यात आला, ज्यामध्ये चेतावणी देण्यात आली की कोणत्याही सार्वजनिक भांडाराच्या काट्याचा मालक पुल विनंती सबमिट करून, बिल्ड प्रक्रियेस चालना देऊ शकतो आणि फायदा मिळवू शकतो. मूळ रेपॉजिटरीच्या संवेदनशील पर्यावरणीय व्हेरिएबल्समध्ये अनधिकृत प्रवेश असे व्हेरिएबल्स एनक्रिप्टेड स्वरूपात साठवले जातात आणि केवळ असेंब्ली दरम्यान डिक्रिप्ट केले जातात. समस्येने केवळ सार्वजनिकरित्या प्रवेश करण्यायोग्य भांडारांवर परिणाम केला ज्यात काटे आहेत (खाजगी भांडार हल्ल्यासाठी संवेदनाक्षम नाहीत).

स्त्रोत: opennet.ru