Security: Travis-CI könnte Secrets Tausender Projekte geleakt haben

Durch einen Fehler von Travis CI konnten Secrets von Open-Source-Projekten eingesehen werden. Die Finder der Lücke kritisieren den Anbieter massiv.

Artikel veröffentlicht am ,
Die Cloud sind auch nur Rechner von anderen.
Die Cloud sind auch nur Rechner von anderen. (Bild: Quinn Dombrowski, flickr.com/CC-BY-SA 2.0)

Eine Sicherheitslücke (CVE-2021-41077) in dem Dienst Travis CI hat womöglich die Secrets zahlreicher Open-Source-Projekte offengelegt. Dabei könnte es sich etwa um Signaturschlüssel, Zugangsdaten oder auch API-Tokens handeln. Betroffen sind der Beschreibung zufolge Builds in der CI-Umgebung aus dem Zeitraum vom 3. September bis zum 10. September.

Stellenmarkt
  1. Java Entwickler:in (m/w/d)
    Lufthansa Industry Solutions TS GmbH, Oldenburg
  2. Mitarbeiter (m/w/d) für den IT First Level Support
    Diakonie Hasenbergl e.V., München
Detailsuche

Die starke Integration von Travis CI in Dienste wie Github oder auch Bitbucket macht seine Nutzung so beliebt. Eigentlich sollten Cloud-Systeme wie das CI-Angebot Travis die geheimen Umgebungsvariablen dabei aber vor einem Zugriff durch Dritte schützen. Das ist in diesem Fall aber nicht gelungen, falls ein öffentliches Repository geklont wurde, das auf Travis setzt.

Demnach wurden die Secrets dann schlicht auch in den externen Builds der Forks genutzt und nicht nur in denen des Hauptentwicklungszweigs. Ersteller der Forks hätten so auf die Secrets zugreifen können.

Der nun bekannt gewordene Fehler erinnert an einen Angriff auf das CI-System Codecov, bei dem Angreifer dessen Upload-Skript manipulieren konnten, um wiederum die Zugangsdaten der Kunden zu erlangen. Das Ziel derartiger Angriffe ist dabei nicht direkt der Anbieter selbst, sondern dessen Kunden. Mithilfe der so erlangten eigentlich geheimen Daten könnten Angreifer möglicherweise Hintertüren oder Trojaner in den Code einschleusen.

Kritik an Travis CI

Golem Akademie
  1. Linux-Systeme absichern und härten
    8.-10. November 2021, online
  2. Penetration Testing Fundamentals
    23.-24. September 2021, online
  3. Microsoft 365 Security Workshop
    27.-29. Oktober 2021, Online
Weitere IT-Trainings

Heftig kritisiert wird Travis CI für den Umgang mit der Lücke sowie für seine eher spärliche Kommunikation dazu. Dem Entwickler Péter Szilágyi zufolge hat Travis CI auf das Melden der Lücke zunächst nur mit der Aufforderung reagiert, die Secrets auszutauschen. Die eigentliche Lücke sei jedoch ignoriert worden.

Daraufhin versuchten offenbar die beteiligten Entwickler, externen Druck auf Travis CI aufzubauen, etwa über Github. Letztlich habe der Anbieter die Lücke am 10. September ohne jede weitere Information dazu behoben, erklärte Szilágyi. Eine detaillierte Analyse dazu fehlt bis heute. Eine sehr kurze Zusammenfassung findet sich lediglich im Community-Forum von Travis CI.

Hacking & Security: Das umfassende Handbuch. 2. aktualisierte Auflage des IT-Standardwerks (Deutsch) Gebundene Ausgabe

Ein aktuelles Security-Bulletin weist außerdem lediglich darauf hin, die Secrets auszutauschen, ohne jedoch die eigentliche Lücke zu behandeln. Für Szilágyi steht nach dem geschilderten Auftreten von Travis CI fest, dass er nur noch empfehlen könne, den Dienst nicht mehr zu nutzen und zu einer Alternative zu wechseln.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
600 Millionen Euro
Bundeswehr lässt Funkgeräte von 1982 nachbauen

Das SEM 80/90 mit 16 KBit/s wird exakt nachgebaut, zum Stückpreis von rund 20.000 Euro. Das Retrogerät geht für die Bundeswehr in Serie.

600 Millionen Euro: Bundeswehr lässt Funkgeräte von 1982 nachbauen
Artikel
  1. Foundation bei Apple TV+: Die unverfilmbare Asimov-Trilogie grandios verfilmt
    Foundation bei Apple TV+
    Die unverfilmbare Asimov-Trilogie grandios verfilmt

    Gegen die Welt von Asimovs Foundation-Trilogie wirkt Game of Thrones überschaubar. Apple hat mit einem enormen Budget eine enorme Science-Fiction-Serie geschaffen.
    Eine Rezension von Peter Osteried

  2. Browser: Edge unterstützt Maus und Tastatur auf Xbox
    Browser
    Edge unterstützt Maus und Tastatur auf Xbox

    Microsoft hat Edge auf den aktuellen Xbox-Konsolen aktualisiert. Jetzt lässt sich der Browser fast wie am PC per Maus und Tastatur bedienen.

  3. Staatliche Hacker: Stasi hörte seit 1975 Autotelefone in West-Berlin ab
    Staatliche Hacker
    Stasi hörte seit 1975 Autotelefone in West-Berlin ab

    Das B-Netz der Deutschen Bundespost wurde spätestens seit 1975 von der DDR-Staatssicherheit abgehört.

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Samsung Odyssey G7 499€ • Alternate (u. a. Thermaltake Level 20 RS ARGB 99,90€) • Samsung 980 1 TB 83€ • Lenovo IdeaPad Duet Chromebook 229€ • Lenovo-Laptops zu Bestpreisen • 19% auf Sony-TVs bei MM • Samsung SSD 980 Pro 1TB 150,50€ • AeroCool Cylon 4 ARGB 25,89€ [Werbung]
    •  /