A empresa Aqua Security publicou os resultados de uma pesquisa sobre a presença de dados confidenciais em logs de construção, acessíveis publicamente no sistema de integração contínua Travis CI. Os pesquisadores encontraram uma maneira de extrair 770 milhões de logs de vários projetos. Ao testar o upload de 8 milhões de logs, foram identificados cerca de 73 mil tokens, credenciais e chaves de acesso relacionados a diversos serviços populares, incluindo GitHub, AWS e Docker Hub. As informações reveladas podem comprometer a infraestrutura de muitos projetos de código aberto, por exemplo, uma vazamento semelhante recentemente levou ao hackeamento da infraestrutura do projeto NPM.
O vazamento está relacionado à possibilidade de acessar os logs dos usuários do serviço gratuito Travis CI através da API padrão (por exemplo, um log de construção pode ser carregado através de uma URL como «https://api.travis-ci.org/v3/job/5248126/log.txt», onde o número 5248126 é o identificador do log). Para determinar a faixa de identificadores de logs possíveis, foi utilizada outra API («https://api.travis-ci.org/logs/6976822»), que redireciona para o download do log pelo número sequencial. Através de um método de força bruta, a pesquisa conseguiu identificar cerca de 770 milhões de logs, criados de 2013 até maio de 2022, durante a construção de projetos sob o plano gratuito.
A análise da amostra de teste mostrou que, em muitos casos, os logs expõem abertamente os parâmetros de acesso a repositórios, APIs e armazenamento, suficientes para acessar repositórios privados, fazer alterações no código ou conectar-se a ambientes em nuvem utilizados na infraestrutura. Por exemplo, os logs continham tokens para conexão a repositórios no GitHub, senhas para implantação de builds no Docker Hub, chaves para acesso a ambientes da Amazon Web Services (AWS), parâmetros de conexão para bancos de dados MySQL e PostgreSQL.
É notável que vazamentos semelhantes através da API foram registrados por pesquisadores em 2015 e 2019. Após os incidentes anteriores, a empresa Travis adicionou certas restrições para dificultar o download em massa de dados e restringiu o acesso à API, mas essas restrições foram contornadas. Além disso, a empresa Travis fez uma tentativa de limpar dados confidenciais nos logs, mas os dados foram limpos apenas parcialmente.
A vazamento afetou principalmente os usuários de projetos públicos, que têm acesso gratuito ao serviço de integração contínua do Travis. Durante a verificação realizada por alguns provedores de serviços, foi confirmado que cerca de metade dos tokens e chaves extraídos dos logs ainda estão válidos. Todos os usuários da versão gratuita do serviço Travis CI são aconselhados a trocar urgentemente suas chaves de acesso, além de configurar a exclusão dos logs de build e verificar a ausência de dados confidenciais nos logs.
Fonte: opennet.ru
