Spoločnosť Aqua Security zverejnila výsledky výskumu prítomnosti dôverných údajov v zostavovacích logoch, ktoré sú verejne dostupné v systéme kontinuálnej integrácie Travis CI. Výskumníci našli spôsob, ako extrahovať 770 miliónov logov rôznych projektov. Pri testovacom nahrávaní 8 miliónov logov sa v získaných údajoch našlo približne 73 tisíc tokenov, prihlasovacích údajov a prístupových kľúčov súvisiacich s rôznymi populárnymi službami, vrátane GitHub, AWS a Docker Hub. Odhalené informácie umožňujú kompromitovať infraštruktúru mnohých otvorených projektov, napríklad podobná únik údajov nedávno viedla k prelomeniu infraštruktúry projektu NPM.
Únik súvisí s možnosťou prístupu k logom používateľov bezplatnej služby Travis CI prostredníctvom regulárneho API (napríklad, zostavovací log môžete stiahnuť cez URL vo forme „https://api.travis-ci.org/v3/job/5248126/log.txt“, kde číslo 5248126 je identifikátor logu). Na určenie rozsahu možných identifikátorov logov sa použilo ďalšie API („https://api.travis-ci.org/logs/6976822“), ktoré zabezpečuje presmerovanie na stiahnutie logu podľa poradového čísla. Metódou pokusu a omylu sa v priebehu výskumu podarilo bez autentizácie určiť približne 770 miliónov logov vytvorených od roku 2013 do mája 2022 v priebehu zostavovania projektov, ktoré spadajú pod bezplatný tarifný plán.
Analýza testovacej vzorky ukázala, že v mnohých prípadoch boli v logu verejne zdokumentované prístupové parametre k repozitárom, API a úložiskám, dostatočné na prístup k súkromným repozitárom, vykonanie zmien v kóde alebo pripojenie k cloudovým prostrediam, ktoré sa používajú v infraštruktúre. Napríklad v logoch boli nájdené tokeny na pripojenie k repozitárom na GitHub, heslá na hosting zostáv v Docker Hub, kľúče na prístup k prostrediam Amazon Web Services (AWS), parametre pripojenia k DBMS MySQL a PostgreSQL.
Zvlášť zaujímavé je, že podobné úniky prostredníctvom API boli zaznamenané výskumníkmi v rokoch 2015 a 2019. Po predchádzajúcich incidentoch spoločnosť Travis pridala určité obmedzenia, aby sťažovala masívne sťahovanie údajov a obmedzila prístup k API, ale tieto obmedzenia sa podarilo obísť. Okrem toho spoločnosť Travis podnikla pokusy o čistenie dôverných údajov v logoch, ale údaje boli vyčistené len čiastočne.
Únik sa najmä dotkol používateľov otvorených projektov, ktorým Travis poskytuje bezplatný prístup k svojmu servisu pre kontinuálnu integráciu. V priebehu kontroly, ktorú vykonali niektorí poskytovatelia služieb, sa potvrdilo, že približne polovica z vytiahnutých tokenov a kľúčov z logov zostáva stále funkčných. Všetkým používateľom bezplatnej verzie služby Travis CI sa odporúča okamžite zmeniť prístupové kľúče, ako aj nastaviť odstránenie zostavovacích logov a skontrolovať, či v logoch nedošlo k výstupu dôverných údajov.
Zdroj: opennet.ru
