{"id":104377,"date":"2022-06-13T21:36:53","date_gmt":"2022-06-13T19:36:53","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov"},"modified":"2022-06-13T21:36:53","modified_gmt":"2022-06-13T19:36:53","slug":"v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/news\/v-publichnyh-logah-travis-ci-vyyavleno-okolo-73-tysyach-tokenov-i-parolej-otkrytyh-proektov","title":{"rendered":"Foram identificados cerca de 73 mil tokens e senhas de projetos abertos nos registros p\u00fablicos do Travis CI.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
A empresa Aqua Security publicou os resultados de uma pesquisa sobre a presen\u00e7a de dados confidenciais em logs de constru\u00e7\u00e3o, acess\u00edveis publicamente no sistema de integra\u00e7\u00e3o cont\u00ednua Travis CI. Os pesquisadores encontraram uma maneira de extrair 770 milh\u00f5es de logs de v\u00e1rios projetos. Ao testar o upload de 8 milh\u00f5es de logs, foram identificados cerca de 73 mil tokens, credenciais e chaves de acesso relacionados a diversos servi\u00e7os populares, incluindo GitHub, AWS e Docker Hub. As informa\u00e7\u00f5es reveladas podem comprometer a infraestrutura de muitos projetos de c\u00f3digo aberto, por exemplo, uma vazamento semelhante recentemente levou ao hackeamento da infraestrutura do projeto NPM. <\/p>\n
A vazamento est\u00e1 relacionado \u00e0 possibilidade de acesso aos logs dos usu\u00e1rios do servi\u00e7o gratuito Travis CI atrav\u00e9s da API padr\u00e3o (por exemplo, \u00e9 poss\u00edvel baixar o log de constru\u00e7\u00e3o atrav\u00e9s de uma URL como «https:\/\/api.travis-ci.org\/v3\/job\/5248126\/log.txt», onde o n\u00famero 5248126 — \u00e9 o identificador do log). Para determinar o intervalo de poss\u00edveis identificadores de log, foi utilizada outra API («https:\/\/api.travis-ci.org\/logs\/6976822»), que fornece redirecionamento para o download do log por n\u00famero sequencial. Por meio de um m\u00e9todo de enumera\u00e7\u00e3o durante a pesquisa, foi poss\u00edvel identificar aproximadamente 770 milh\u00f5es de logs, criados de 2013 at\u00e9 maio de 2022, durante a constru\u00e7\u00e3o de projetos inclu\u00eddos no plano gratuito. <\/p>\n
A an\u00e1lise da amostra de teste mostrou que, em muitos casos, os logs exp\u00f5em abertamente os par\u00e2metros de acesso a reposit\u00f3rios, APIs e armazenamento, suficientes para acessar reposit\u00f3rios privados, fazer altera\u00e7\u00f5es no c\u00f3digo ou conectar-se a ambientes em nuvem utilizados na infraestrutura. Por exemplo, os logs continham tokens para conex\u00e3o a reposit\u00f3rios no GitHub, senhas para implanta\u00e7\u00e3o de builds no Docker Hub, chaves para acesso a ambientes da Amazon Web Services (AWS), par\u00e2metros de conex\u00e3o para bancos de dados MySQL e PostgreSQL. <\/p>\n
\u00c9 not\u00e1vel que vazamentos semelhantes atrav\u00e9s da API foram registrados por pesquisadores em 2015 e 2019. Ap\u00f3s os incidentes anteriores, a empresa Travis adicionou certas restri\u00e7\u00f5es para dificultar o download em massa de dados e restringiu o acesso \u00e0 API, mas essas restri\u00e7\u00f5es foram contornadas. Al\u00e9m disso, a empresa Travis fez uma tentativa de limpar dados confidenciais nos logs, mas os dados foram limpos apenas parcialmente. <\/p>\n
A vazamento afetou principalmente os usu\u00e1rios de projetos p\u00fablicos, que t\u00eam acesso gratuito ao servi\u00e7o de integra\u00e7\u00e3o cont\u00ednua do Travis. Durante a verifica\u00e7\u00e3o realizada por alguns provedores de servi\u00e7os, foi confirmado que cerca de metade dos tokens e chaves extra\u00eddos dos logs ainda est\u00e3o v\u00e1lidos. Todos os usu\u00e1rios da vers\u00e3o gratuita do servi\u00e7o Travis CI s\u00e3o aconselhados a trocar urgentemente suas chaves de acesso, al\u00e9m de configurar a exclus\u00e3o dos logs de build e verificar a aus\u00eancia de dados confidenciais nos logs. \n Fonte: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"