I Travis CI, en kontinuerlig integrationsservice för testning och byggnation av projekt som utvecklas pÄ GitHub och Bitbucket, har en sÀkerhetsbrist (CVE-2021-41077) identifierats, vilket gör det möjligt att fÄ tillgÄng till innehÄllet i konfidentiella miljövariabler i offentliga repositorier som anvÀnder Travis CI. SÄrbarheten gör det ocksÄ möjligt att fÄ kÀnnedom om de nycklar som anvÀnds i Travis CI för att generera digitala signaturer, Ätkomstnycklar och token för att komma Ät API:et.
Problemet fanns i Travis CI frÄn den 3 till den 10 september. Det Àr vÀrt att notera att information om sÄrbarheten överlÀmnades till utvecklarna den 7 september, men i svar fick man endast ett standardsvar med rekommendationer om nyckelrotation. Utan att fÄ adekvat Äterkoppling kontaktade forskarna GitHub och föreslog att sÀtta Travis pÄ en svart lista. Problemet ÄtgÀrdades först den 10 september efter ett stort antal klagomÄl frÄn olika projekt. Efter incidenten publicerades en konstig rapport pÄ Travis CIs webbplats om problemet, dÀr det istÀllet för att informera om ÄtgÀrdandet av sÄrbarheten endast innehöll de rekommendationer om cyklisk byte av Ätkomstnycklar utan sammanhang.
Efter upprördhet över dolda uppgifter, uttryckt av flera stora projekt, publicerades en mer detaljerad rapport pÄ Travis CIs supportforum, dÀr det varnas för att Àgaren av en fork av ett offentligt repositorium genom att skicka en pull-begÀran kunde initiera byggprocessen och fÄ obehörig Ätkomst till konfidentiella miljövariabler i det ursprungliga repositoriet, som stÀlls ut under byggprocessen baserat pÄ fÀlten i filen «.travis.yml» eller definierade via webbgrÀnssnittet i Travis CI. Dessa variabler lagras i krypterad form och dekrypteras endast under byggprocessen. Problemet relaterade endast till offentligt tillgÀngliga repositorier som har forks (privata repositorier Àr inte exponerade för attack).
KĂ€lla: opennet.ru
