ਟ੍ਰੈਵਿਸ ਸੀਆਈ ਵਿੱਚ ਕਮਜ਼ੋਰੀ ਜਨਤਕ ਰਿਪੋਜ਼ਟਰੀ ਕੁੰਜੀਆਂ ਦੇ ਲੀਕ ਹੋਣ ਦਾ ਕਾਰਨ ਬਣਦੀ ਹੈ

ਟ੍ਰੈਵਿਸ CI ਨਿਰੰਤਰ ਏਕੀਕਰਣ ਸੇਵਾ ਵਿੱਚ ਇੱਕ ਸੁਰੱਖਿਆ ਮੁੱਦੇ (CVE-2021-41077) ਦੀ ਪਛਾਣ ਕੀਤੀ ਗਈ ਹੈ, GitHub ਅਤੇ Bitbucket 'ਤੇ ਵਿਕਸਤ ਕੀਤੇ ਪ੍ਰੋਜੈਕਟਾਂ ਦੀ ਜਾਂਚ ਅਤੇ ਨਿਰਮਾਣ ਲਈ ਤਿਆਰ ਕੀਤੀ ਗਈ ਹੈ, ਜੋ ਟ੍ਰੈਵਿਸ CI ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਜਨਤਕ ਰਿਪੋਜ਼ਟਰੀਆਂ ਦੇ ਸੰਵੇਦਨਸ਼ੀਲ ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲ ਦੀ ਸਮੱਗਰੀ ਨੂੰ ਪ੍ਰਗਟ ਕਰਨ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ। . ਹੋਰ ਚੀਜ਼ਾਂ ਦੇ ਨਾਲ, ਕਮਜ਼ੋਰੀ ਤੁਹਾਨੂੰ API ਨੂੰ ਐਕਸੈਸ ਕਰਨ ਲਈ ਡਿਜੀਟਲ ਦਸਤਖਤ, ਐਕਸੈਸ ਕੁੰਜੀਆਂ ਅਤੇ ਟੋਕਨ ਬਣਾਉਣ ਲਈ ਟ੍ਰੈਵਿਸ ਸੀਆਈ ਵਿੱਚ ਵਰਤੀਆਂ ਗਈਆਂ ਕੁੰਜੀਆਂ ਦਾ ਪਤਾ ਲਗਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦੀ ਹੈ।

ਸਮੱਸਿਆ 3 ਸਤੰਬਰ ਤੋਂ 10 ਸਤੰਬਰ ਤੱਕ ਟ੍ਰੈਵਿਸ ਸੀਆਈ ਵਿੱਚ ਮੌਜੂਦ ਸੀ। ਇਹ ਧਿਆਨ ਦੇਣ ਯੋਗ ਹੈ ਕਿ ਕਮਜ਼ੋਰੀ ਬਾਰੇ ਜਾਣਕਾਰੀ ਡਿਵੈਲਪਰਾਂ ਨੂੰ 7 ਸਤੰਬਰ ਨੂੰ ਪ੍ਰਸਾਰਿਤ ਕੀਤੀ ਗਈ ਸੀ, ਪਰ ਜਵਾਬ ਵਿੱਚ ਉਹਨਾਂ ਨੂੰ ਸਿਰਫ ਕੁੰਜੀ ਰੋਟੇਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਸਿਫਾਰਸ਼ ਦੇ ਨਾਲ ਇੱਕ ਜਵਾਬ ਪ੍ਰਾਪਤ ਹੋਇਆ। ਢੁਕਵੀਂ ਫੀਡਬੈਕ ਨਾ ਮਿਲਣ ਤੋਂ ਬਾਅਦ, ਖੋਜਕਰਤਾਵਾਂ ਨੇ GitHub ਨਾਲ ਸੰਪਰਕ ਕੀਤਾ ਅਤੇ ਟ੍ਰੈਵਿਸ ਨੂੰ ਬਲੈਕਲਿਸਟ ਕਰਨ ਦਾ ਪ੍ਰਸਤਾਵ ਦਿੱਤਾ। ਵੱਖ-ਵੱਖ ਪ੍ਰਾਜੈਕਟਾਂ ਤੋਂ ਵੱਡੀ ਗਿਣਤੀ ਵਿਚ ਸ਼ਿਕਾਇਤਾਂ ਮਿਲਣ ਤੋਂ ਬਾਅਦ 10 ਸਤੰਬਰ ਨੂੰ ਹੀ ਸਮੱਸਿਆ ਦਾ ਹੱਲ ਕੀਤਾ ਗਿਆ ਸੀ। ਘਟਨਾ ਤੋਂ ਬਾਅਦ, ਟ੍ਰੈਵਿਸ ਸੀਆਈ ਵੈਬਸਾਈਟ 'ਤੇ ਸਮੱਸਿਆ ਬਾਰੇ ਇੱਕ ਹੋਰ ਅਜੀਬ ਰਿਪੋਰਟ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤੀ ਗਈ ਸੀ, ਜਿਸ ਵਿੱਚ, ਕਮਜ਼ੋਰੀ ਲਈ ਇੱਕ ਫਿਕਸ ਬਾਰੇ ਸੂਚਿਤ ਕਰਨ ਦੀ ਬਜਾਏ, ਸਿਰਫ ਐਕਸੈਸ ਕੁੰਜੀਆਂ ਨੂੰ ਚੱਕਰਵਰਤੀ ਤੌਰ 'ਤੇ ਬਦਲਣ ਲਈ ਇੱਕ ਪ੍ਰਸੰਗ ਤੋਂ ਬਾਹਰ ਦੀ ਸਿਫਾਰਸ਼ ਸ਼ਾਮਲ ਸੀ।

ਕਈ ਵੱਡੇ ਪ੍ਰੋਜੈਕਟਾਂ ਦੁਆਰਾ ਕਵਰ-ਅਪ 'ਤੇ ਰੌਲਾ ਪਾਉਣ ਤੋਂ ਬਾਅਦ, ਟ੍ਰੈਵਿਸ ਸੀਆਈ ਸਹਾਇਤਾ ਫੋਰਮ 'ਤੇ ਇੱਕ ਵਧੇਰੇ ਵਿਸਤ੍ਰਿਤ ਰਿਪੋਰਟ ਪ੍ਰਕਾਸ਼ਤ ਕੀਤੀ ਗਈ ਸੀ, ਜਿਸ ਵਿੱਚ ਚੇਤਾਵਨੀ ਦਿੱਤੀ ਗਈ ਸੀ ਕਿ ਕਿਸੇ ਵੀ ਜਨਤਕ ਰਿਪੋਜ਼ਟਰੀ ਦੇ ਫੋਰਕ ਦਾ ਮਾਲਕ, ਇੱਕ ਪੁੱਲ ਬੇਨਤੀ ਜਮ੍ਹਾ ਕਰਕੇ, ਬਿਲਡ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਚਾਲੂ ਕਰ ਸਕਦਾ ਹੈ ਅਤੇ ਲਾਭ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦਾ ਹੈ। ਅਸਲ ਰਿਪੋਜ਼ਟਰੀ ਦੇ ਸੰਵੇਦਨਸ਼ੀਲ ਵਾਤਾਵਰਣ ਵੇਰੀਏਬਲ ਤੱਕ ਅਣਅਧਿਕਾਰਤ ਪਹੁੰਚ। , “.travis.yml” ਫਾਈਲ ਦੇ ਖੇਤਰਾਂ ਦੇ ਅਧਾਰ ਤੇ ਅਸੈਂਬਲੀ ਦੌਰਾਨ ਸੈੱਟ ਕੀਤੀ ਗਈ ਜਾਂ ਟ੍ਰੈਵਿਸ CI ਵੈੱਬ ਇੰਟਰਫੇਸ ਦੁਆਰਾ ਪਰਿਭਾਸ਼ਿਤ ਕੀਤੀ ਗਈ। ਅਜਿਹੇ ਵੇਰੀਏਬਲਾਂ ਨੂੰ ਐਨਕ੍ਰਿਪਟਡ ਰੂਪ ਵਿੱਚ ਸਟੋਰ ਕੀਤਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਸਿਰਫ਼ ਅਸੈਂਬਲੀ ਦੌਰਾਨ ਹੀ ਡੀਕ੍ਰਿਪਟ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਸਮੱਸਿਆ ਸਿਰਫ ਜਨਤਕ ਤੌਰ 'ਤੇ ਪਹੁੰਚਯੋਗ ਰਿਪੋਜ਼ਟਰੀਆਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕਰਦੀ ਹੈ ਜਿਨ੍ਹਾਂ ਕੋਲ ਫੋਰਕ ਹਨ (ਪ੍ਰਾਈਵੇਟ ਰਿਪੋਜ਼ਟਰੀਆਂ ਹਮਲੇ ਲਈ ਸੰਵੇਦਨਸ਼ੀਲ ਨਹੀਂ ਹਨ)।

ਸਰੋਤ: opennet.ru