{"id":104377,"date":"2022-06-13T21:36:53","date_gmt":"2022-06-13T19:36:53","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov"},"modified":"2022-06-13T21:36:53","modified_gmt":"2022-06-13T19:36:53","slug":"v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov","title":{"rendered":"W publicznych dziennikach Travis CI wykryto oko\u0142o 73 tysi\u0119cy token\u00f3w i hase\u0142 projekt\u00f3w open source","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Firma Aqua Security opublikowa\u0142a wyniki badania dotycz\u0105cego obecno\u015bci danych poufnych w logach kompilacji, kt\u00f3re s\u0105 publicznie dost\u0119pne w systemie ci\u0105g\u0142ej integracji Travis CI. Naukowcy odkryli spos\u00f3b na wydobycie 770 milion\u00f3w log\u00f3w z r\u00f3\u017cnych projekt\u00f3w. Przy testowym za\u0142adunku 8 milion\u00f3w log\u00f3w w zebranych danych zidentyfikowano oko\u0142o 73 tysi\u0119cy token\u00f3w, danych logowania i kluczy dost\u0119pu, zwi\u0105zanych z r\u00f3\u017cnymi popularnymi us\u0142ugami, w tym GitHub, AWS i Docker Hub. Ujawnione informacje mog\u0105 skompromitowa\u0107 infrastruktur\u0119 wielu otwartych projekt\u00f3w, na przyk\u0142ad podobny wyciek niedawno doprowadzi\u0142 do w\u0142amania do infrastruktury projektu NPM. <\/p>\n
Wycieki s\u0105 zwi\u0105zane z mo\u017cliwo\u015bci\u0105 uzyskania dost\u0119pu do log\u00f3w u\u017cytkownik\u00f3w darmowej us\u0142ugi Travis CI za po\u015brednictwem standardowego API (na przyk\u0142ad log budowy mo\u017cna pobra\u0107 poprzez URL w postaci «https:\/\/api.travis-ci.org\/v3\/job\/5248126\/log.txt», gdzie liczba 5248126 — to identyfikator logu). Do okre\u015blenia zakresu mo\u017cliwych identyfikator\u00f3w log\u00f3w wykorzystano kolejne API («https:\/\/api.travis-ci.org\/logs\/6976822»), kt\u00f3re zapewnia przekierowanie do pobrania logu wed\u0142ug numeru kolejnego. Metod\u0105 pr\u00f3b i b\u0142\u0119d\u00f3w w trakcie badania uda\u0142o si\u0119 bez uwierzytelnienia zidentyfikowa\u0107 oko\u0142o 770 milion\u00f3w log\u00f3w, kt\u00f3re powsta\u0142y w latach 2013-2022 podczas budowy projekt\u00f3w obj\u0119tych darmowym planem taryfowym. <\/p>\n
Analiza pr\u00f3bki testowej wykaza\u0142a, \u017ce w wielu przypadkach w logu w otwartej formie odzwierciedlone s\u0105 parametry dost\u0119pu do repozytori\u00f3w, API i magazyn\u00f3w, wystarczaj\u0105ce do uzyskania dost\u0119pu do prywatnych repozytori\u00f3w, wprowadzenia zmian w kodzie lub po\u0142\u0105czenia z chmurowymi \u015brodowiskami wykorzystywanymi w infrastrukturze. Na przyk\u0142ad w logach znalaz\u0142y si\u0119 tokeny do po\u0142\u0105czenia z repozytoriami w GitHub, has\u0142a do publikacji kompilacji w Docker Hub, klucze dost\u0119pu do \u015brodowisk Amazon Web Services (AWS), oraz parametry po\u0142\u0105czenia z baz\u0105 danych MySQL i PostgreSQL. <\/p>\n
Warto zauwa\u017cy\u0107, \u017ce podobne wycieki przez API by\u0142y rejestrowane przez badaczy w 2015 i 2019 roku. Po wcze\u015bniejszych incydentach firma Travis doda\u0142a pewne ograniczenia, aby utrudni\u0107 masowe pobieranie danych oraz ograniczy\u0142a dost\u0119p do API, ale te ograniczenia uda\u0142o si\u0119 obej\u015b\u0107. Ponadto firma Travis podj\u0119\u0142a pr\u00f3b\u0119 usuni\u0119cia danych poufnych z log\u00f3w, ale dane zosta\u0142y usuni\u0119te jedynie cz\u0119\u015bciowo. <\/p>\n
Wycieki danych dotkn\u0119\u0142y g\u0142\u00f3wnie u\u017cytkownik\u00f3w otwartych projekt\u00f3w, kt\u00f3rym Travis oferuje bezp\u0142atny dost\u0119p do swojego serwisu ci\u0105g\u0142ej integracji. Podczas kontroli przeprowadzonej przez niekt\u00f3re firmy dostarczaj\u0105ce us\u0142ugi potwierdzono, \u017ce oko\u0142o po\u0142owy token\u00f3w i kluczy pozyskanych z log\u00f3w pozostaje aktywnych. Wszystkim u\u017cytkownikom bezp\u0142atnej wersji serwisu Travis CI zaleca si\u0119 piln\u0105 zmian\u0119 kluczy dost\u0119pu oraz skonfigurowanie usuwania log\u00f3w kompilacji i sprawdzenie, czy w logach nie pojawiaj\u0105 si\u0119 poufne dane. \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"