Företaget Aqua Security har publicerat resultaten av en undersökning av förekomsten av känsliga data i byggloggar som är offentligt tillgängliga i det kontinuerliga integrationssystemet Travis CI. Forskarna hittade en metod för att extrahera 770 miljoner loggar från olika projekt. Vid en testuppladdning av 8 miljoner loggar identifierades cirka 73 000 tokens, användaruppgifter och åtkomsträtter relaterade till olika populära tjänster, inklusive GitHub, AWS och Docker Hub. Den information som upptäcktes kan komprimera infrastrukturen för många öppna projekt, till exempel ledde en liknande läcka nyligen till en hackning av infrastrukturen för projektet NPM.
Läcka är kopplad till möjligheten att få tillgång till loggar från användare av den kostnadsfria tjänsten Travis CI via det inbyggda API:et (till exempel kan en bygglogg laddas ner via en URL som "https://api.travis-ci.org/v3/job/5248126/log.txt", där numret 5248126 är loggens identifierare). För att bestämma intervallet för möjliga loggidentifierare användes ett annat API ("https://api.travis-ci.org/logs/6976822"), som ger en omdirigering till nedladdning av loggen baserat på serienummer. Genom att systematiskt testa under undersökningen kunde cirka 770 miljoner loggar, skapade mellan 2013 och maj 2022 under projekts byggfas, identifieras utan autentisering.
Analysen av testurvalet visade att loggarna i många fall innehöll öppna åtkomsträttigheter till repositories, API:er och lagringsytor, tillräckliga för att få tillgång till privata repositories, göra ändringar i koden eller ansluta till molnmiljöer som används i infrastrukturen. Till exempel hittades tokens för att ansluta till repositories på GitHub, lösenord för att publicera byggnader på Docker Hub, nycklar för att få tillgång till Amazon Web Services (AWS) miljöer samt anslutningsparameterar för MySQL och PostgreSQL databaser.
Det är värt att notera att liknande läckor via API har registrerats av forskare under 2015 och 2019. Efter tidigare incidenter har företaget Travis lagt till vissa begränsningar för att försvåra massnedladdning av data och beskärde tillgången till API:et, men dessa begränsningar har kunnat kringgås. Dessutom gjorde företaget Travis ett försök att rensa känsliga data i loggar, men datarensningen var endast delvis genomförd.
Läckan berörde huvudsakligen användare av öppna projekt som får gratis tillgång till Travis tjänst för kontinuerlig integration. Vid en granskning som genomfördes av vissa tjänsteleverantörer bekräftades det att ungefär hälften av de extraherade loggtokens och nycklar förblir aktiva. Alla användare av den gratis versionen av Travis CI rekommenderas att omedelbart byta åtkomstnycklar, samt att ställa in borttagning av byggloggar och kontrollera att inga konfidentiella uppgifter skrivs ut i loggarna.
Källa: opennet.ru
