V službe kontinuálnej integrácie Travis CI, určené na testovanie a zostavovanie projektov vyvíjaných na GitHub a Bitbucket, bola zistená bezpečnostná chyba (CVE-2021-41077), ktorá umožňuje získať obsah dôverných premenných prostredia verejných repozitárov používajúcich Travis CI. Medzi iným, zraniteľnosť umožňuje získať kľúče používané v Travis CI na vytváranie digitálnych podpisov, prístupové kľúče a tokeny na volanie API.
Problém pretrvával v Travis CI od 3. do 10. septembra. Zaujímavé je, že informácie o zraniteľnosti boli odovzdané vývojárom 7. septembra, ale namiesto toho prišla len odpoveď s odporúčaním na rotáciu kľúčov. Nedostávajúc adekvátnu spätnú väzbu, výskumníci kontaktovali GitHub a navrhli zaradenie Travisu na čiernu listinu. Problém bol odstránený až 10. septembra po množstve sťažností od rôznych projektov. Po incidente bola na stránke spoločnosti Travis CI zverejnená viac než podivná správa o probléme, v ktorej namiesto informovania o oprave zraniteľnosti, bola uvedená len odporúčaná cyklická zmena prístupových kľúčov bez kontextu.
Po rozhorčení, ktoré vyvolalo utajenie informácií niekoľkými veľkými projektmi, bol na podpornej fóre Travis CI zverejnený podrobnejší report, v ktorom sa varovalo, že vlastník forku akéhokoľvek verejného repozitára mohol cez poslanie pull-requestu iniciovať proces zostavovania a získať neoprávnený prístup k dôverným premenným prostredia základného repozitára, ktoré sú vystavené počas zostavovania na základe polí z súboru „.travis.yml“ alebo určené prostredníctvom webového rozhrania Travis CI. Takéto premenné sú uložené v zašifrovanej podobe a dešifrujú sa iba počas zostavovania. Problém sa týkal len verejne prístupných repozitárov, ktoré majú forky (súkromné repozitáre nie sú napadnuteľné).
Zdroj: opennet.ru
