In de continue integratieservice Travis CI, die is ontworpen voor het testen en bouwen van projecten die zijn ontwikkeld op GitHub en Bitbucket, is een beveiligingsprobleem (CVE-2021-41077) ontdekt. Dit probleem maakt het mogelijk om de inhoud van gevoelige omgevingsvariabelen van openbare repositories die Travis CI gebruiken, te achterhalen. De kwetsbaarheid stelt ook in staat om de in Travis CI gebruikte sleutels voor het genereren van digitale handtekeningen, toegangssleutels en tokens voor API-aanroepen te onthullen.
Het probleem was aanwezig in Travis CI van 3 tot 10 september. Opmerkelijk is dat de informatie over de kwetsbaarheid op 7 september aan de ontwikkelaars is doorgegeven, maar in reactie daarop kreeg men slechts een standaardantwoord met de aanbeveling om sleutels regelmatig te roteren. Aangezien er geen fatsoenlijke terugkoppeling kwam, namen de onderzoekers contact op met GitHub en stelden voor om Travis op een zwarte lijst te plaatsen. Het probleem werd pas op 10 september opgelost na een groot aantal klachten van verschillende projecten. Na het voorval werd op de website van Travis CI een meer dan vreemd rapport over het probleem gepubliceerd, waarin in plaats van informatie over de oplossing van de kwetsbaarheid, alleen de gegeven aanbeveling om toegangssleutels te rouleren in een andere context werd vermeld.
Na de verontwaardiging over het verbergen van informatie, geuit door verschillende grote projecten, werd er op het ondersteuningsforum van Travis CI een gedetailleerder rapport gepubliceerd. Hierin werd gewaarschuwd dat de eigenaar van een fork van een openbare repository door het indienen van een pull-verzoek het bouwproces kon starten en ongeautoriseerde toegang kon krijgen tot de gevoelige omgevingsvariabelen van de oorspronkelijke repository. Deze worden getoond tijdens de bouw op basis van velden in het bestand '.travis.yml' of gedefinieerd via de webinterface van Travis CI. Dergelijke variabelen worden in versleutelde vorm opgeslagen en worden alleen tijdens de bouw ontsleuteld. Het probleem deed zich alleen voor bij openbaar toegankelijke repositories met forks (privƩ-repositories zijn niet kwetsbaar).
Bron: opennet.ru
