🥇ट्राभिस सीआई सार्वजनिक लगहरूमा खुला परियोजनाहरूको लगभग ७३ हजार टोकन र पासवर्डहरू फेला परे

एक्वा सेक्युरिटीले Travis CI लगातार एकीकरण प्रणालीमा सार्वजनिक रूपमा उपलब्ध असेंबली लगहरूमा गोप्य डेटाको उपस्थितिको अध्ययनको नतिजा प्रकाशित गरेको छ। अनुसन्धानकर्ताहरूले विभिन्न परियोजनाहरूबाट 770 मिलियन लगहरू निकाल्ने तरिका फेला पारेका छन्। 8 मिलियन लगहरूको परीक्षण डाउनलोडले लगभग 73 हजार टोकनहरू, प्रमाणहरू, र GitHub, AWS, र Docker Hub सहित विभिन्न लोकप्रिय सेवाहरूसँग सम्बन्धित पहुँच कुञ्जीहरू पत्ता लगाए। पहिचान गरिएको जानकारीले धेरै खुला-स्रोत परियोजनाहरूको पूर्वाधारमा सम्झौता गर्न अनुमति दिन्छ, उदाहरणका लागि, हालसालै एक समान चुहावटले NPM परियोजनाको पूर्वाधार ह्याक गरेको छ।

चुहावट मानक API मार्फत नि: शुल्क ट्राभिस CI सेवाको प्रयोगकर्ता लगहरूमा पहुँच प्राप्त गर्ने क्षमतासँग सम्बन्धित छ (उदाहरणका लागि, एसेम्बली लग "https://api.travis-ci.org/" जस्ता URL मार्फत डाउनलोड गर्न सकिन्छ। v3/job/5248126/log.txt” जहाँ नम्बर ५२४८१२६ लग पहिचानकर्ता हो)। सम्भावित लग पहिचानकर्ताहरूको दायरा निर्धारण गर्न, अर्को API प्रयोग गरिएको थियो ("https://api.travis-ci.org/logs/5248126"), जसले सिरियल नम्बरद्वारा लग डाउनलोड गर्न पुनःनिर्देशन प्रदान गर्दछ। ब्रूट फोर्स विधि प्रयोग गरी, अध्ययनले नि:शुल्क ट्यारिफ योजना अन्तर्गत पर्ने परियोजनाहरूको एसेम्बलीको क्रममा 6976822 देखि मे 770 सम्म सिर्जना गरिएको लगभग 2013 मिलियन लगहरू प्रमाणीकरण बिना नै पहिचान गर्न सक्षम भयो।

परीक्षण नमूनाको विश्लेषणले देखाएको छ कि धेरै अवस्थामा, स्पष्ट रूपमा लग इन रिपोजिटरीहरू, API र भण्डारणहरूमा पहुँच प्यारामिटरहरू प्रतिबिम्बित गर्दछ, निजी भण्डारहरू पहुँच गर्न पर्याप्त छ, कोडमा परिवर्तनहरू गर्न वा पूर्वाधारमा प्रयोग हुने क्लाउड वातावरणमा जडान गर्न। उदाहरणका लागि, GitHub मा रिपोजिटरीहरूमा जडान गर्नका लागि टोकनहरू, डकर हबमा पोष्ट गर्नका लागि पासवर्डहरू, Amazon Web Services (AWS) वातावरणहरू पहुँच गर्नका लागि कुञ्जीहरू, MySQL र PostgreSQL DBMS मा जडान प्यारामिटरहरू लगहरूमा फेला परे।

यो उल्लेखनीय छ कि एपीआई मार्फत समान लीकहरू 2015 र 2019 मा अनुसन्धानकर्ताहरूले रेकर्ड गरेका थिए। विगतका घटनाहरू पछि, ट्राभिसले बल्कमा डाटा लोड गर्न र API मा पहुँच कटौती गर्न गाह्रो बनाउन केही प्रतिबन्धहरू थपे, तर यी प्रतिबन्धहरू तोडिएका थिए। थप रूपमा, ट्राभिसले लगहरूमा संवेदनशील डाटा सफा गर्ने प्रयास गर्यो, तर डाटा आंशिक रूपमा खाली गरिएको थियो।

चुहावटले मुख्य रूपमा खुला स्रोत परियोजनाहरूको प्रयोगकर्ताहरूलाई प्रभावित गर्‍यो, जसलाई ट्राभिसले यसको निरन्तर एकीकरण सेवामा निःशुल्क पहुँच प्रदान गर्दछ। केही सेवा प्रदायकहरूद्वारा गरिएको परीक्षणको क्रममा, लगहरूबाट निकालिएका टोकनहरू र कुञ्जीहरूमध्ये आधा काम बाँकी रहेको पुष्टि भयो। Travis CI सेवाको नि: शुल्क संस्करणका सबै प्रयोगकर्ताहरूलाई उनीहरूको पहुँच कुञ्जीहरू तुरुन्तै परिवर्तन गर्न सिफारिस गरिन्छ, साथै असेंबली लगहरू मेटाउने कन्फिगर गर्नुहोस् र लगमा गोप्य डाटाको कुनै आउटपुट छैन भनेर जाँच गर्नुहोस्।

स्रोत: opennet.ru

ट्राभिस CI सार्वजनिक लगहरूमा खुला परियोजनाहरूको लगभग 73 हजार टोकन र पासवर्डहरू पहिचान गरियो