ट्राभिस सीआई लीक सार्वजनिक भण्डार कुञ्जी मा जोखिम

ट्र्याभिस CI निरन्तर एकीकरण सेवामा सुरक्षा मुद्दा (CVE-2021-41077) पहिचान गरिएको छ, GitHub र Bitbucket मा विकसित परियोजनाहरू परीक्षण र निर्माणको लागि डिजाइन गरिएको छ, जसले Travis CI प्रयोग गरेर सार्वजनिक भण्डारहरूको संवेदनशील वातावरण चरहरूको सामग्री प्रकट गर्न अनुमति दिन्छ। । अन्य चीजहरू मध्ये, जोखिमले तपाईंलाई डिजिटल हस्ताक्षरहरू, पहुँच कुञ्जीहरू र API पहुँच गर्न टोकनहरू उत्पन्न गर्न Travis CI मा प्रयोग गरिएका कुञ्जीहरू पत्ता लगाउन अनुमति दिन्छ।

समस्या सेप्टेम्बर 3 देखि सेप्टेम्बर 10 सम्म Travis CI मा उपस्थित थियो। यो उल्लेखनीय छ कि सेप्टेम्बर 7 मा विकासकर्ताहरूलाई जोखिमको बारेमा जानकारी पठाइएको थियो, तर प्रतिक्रियामा उनीहरूले कुञ्जी रोटेशन प्रयोग गर्न सिफारिस सहितको जवाफ मात्र प्राप्त गरे। पर्याप्त प्रतिक्रिया प्राप्त नगरी, शोधकर्ताहरूले GitHub लाई सम्पर्क गरे र ट्राभिसलाई कालोसूचीमा राख्ने प्रस्ताव गरे। विभिन्न आयोजनाबाट ठूलो संख्यामा गुनासो आएपछि भदौ १० गते मात्रै समस्या समाधान भएको थियो । घटना पछि, समस्याको बारेमा एक अनौठो रिपोर्ट Travis CI वेबसाइटमा प्रकाशित भएको थियो, जसमा, जोखिमको लागि फिक्सको बारेमा जानकारी दिनुको सट्टा, केवल पहुँच कुञ्जीहरू चक्रीय रूपमा परिवर्तन गर्न बाहिरको सन्दर्भ सिफारिस समावेश थियो।

धेरै ठूला परियोजनाहरू द्वारा कभर-अपमा आक्रोश पछि, ट्राभिस सीआई समर्थन फोरममा थप विस्तृत रिपोर्ट प्रकाशित गरिएको थियो, चेतावनी दिँदै कि कुनै पनि सार्वजनिक भण्डारको फोर्कको मालिकले पुल अनुरोध पेश गरेर निर्माण प्रक्रिया ट्रिगर गर्न सक्छ र लाभ उठाउन सक्छ। ".travis.yml" फाइलको फिल्डहरूमा आधारित वा Travis CI वेब इन्टरफेस मार्फत परिभाषित गरिएको, मूल भण्डारको संवेदनशील वातावरण चरहरूमा अनाधिकृत पहुँच। त्यस्ता भेरिएबलहरू इन्क्रिप्टेड फारममा भण्डारण गरिएका छन् र एसेम्बलीको समयमा मात्र डिक्रिप्ट हुन्छन्। समस्याले सार्वजनिक रूपमा पहुँचयोग्य रिपोजिटरीहरूलाई मात्र असर गर्छ जसमा फोर्कहरू छन् (निजी भण्डारहरू आक्रमणको लागि संवेदनशील छैनन्)।

स्रोत: opennet.ru