{"id":101282,"date":"2021-09-17T04:22:36","date_gmt":"2021-09-17T02:22:36","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-travis-ci-privodyashhaya-k-utechke-klyuchej-publichnyh-repozitoriev"},"modified":"2021-09-17T04:22:36","modified_gmt":"2021-09-17T02:22:36","slug":"uyazvimost-v-travis-ci-privodyashhaya-k-utechke-klyuchej-publichnyh-repozitoriev","status":"publish","type":"post","link":"https:\/\/prohoster.info\/nl\/blog\/news\/uyazvimost-v-travis-ci-privodyashhaya-k-utechke-klyuchej-publichnyh-repozitoriev","title":{"rendered":"Kwetsbaarheid in Travis CI die leidt tot het uitlekken van sleutels van openbare repositories.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
In de continue integratieservice Travis CI, die is ontworpen voor het testen en bouwen van projecten die zijn ontwikkeld op GitHub en Bitbucket, is een beveiligingsprobleem (CVE-2021-41077) ontdekt. Dit probleem maakt het mogelijk om de inhoud van gevoelige omgevingsvariabelen van openbare repositories die Travis CI gebruiken, te achterhalen. De kwetsbaarheid stelt ook in staat om de in Travis CI gebruikte sleutels voor het genereren van digitale handtekeningen, toegangssleutels en tokens voor API-aanroepen te onthullen. <\/p>\n
Het probleem was aanwezig in Travis CI van 3 tot 10 september. Opmerkelijk is dat de informatie over de kwetsbaarheid op 7 september aan de ontwikkelaars is doorgegeven, maar in reactie daarop kreeg men slechts een standaardantwoord met de aanbeveling om sleutels regelmatig te roteren. Aangezien er geen fatsoenlijke terugkoppeling kwam, namen de onderzoekers contact op met GitHub en stelden voor om Travis op een zwarte lijst te plaatsen. Het probleem werd pas op 10 september opgelost na een groot aantal klachten van verschillende projecten. Na het voorval werd op de website van Travis CI een meer dan vreemd rapport over het probleem gepubliceerd, waarin in plaats van informatie over de oplossing van de kwetsbaarheid, alleen de gegeven aanbeveling om toegangssleutels te rouleren in een andere context werd vermeld. <\/p>\n
Na aanleiding van de verontwaardiging over de verberging van informatie, geuit door verschillende grote projecten, werd er op het ondersteuningsforum van Travis CI een gedetailleerd rapport gepubliceerd waarin werd gewaarschuwd dat de eigenaar van een fork van een openbare repository via het indienen van een pullrequest het buildproces kon starten en ongeautoriseerde toegang kon verkrijgen tot de vertrouwelijke omgevingsvariabelen van de oorspronkelijke repository, die tijdens de build beschikbaar werden gesteld op basis van de velden in het bestand «.travis.yml» of gedefinieerd via de webinterface van Travis CI. Dergelijke variabelen worden in versleutelde vorm opgeslagen en alleen tijdens de build ontsleuteld. Het probleem betrof alleen openbare repositories met forks (priv\u00e9repositories zijn niet kwetsbaar voor deze aanval). \n Bron: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"