{"id":205870,"date":"2022-06-14T10:32:44","date_gmt":"2022-06-14T10:32:44","guid":{"rendered":"https:\/\/teknomers.com\/es\/el-error-de-la-api-de-travis-ci-sin-parches-expone-miles-de-tokens-de-acceso-de-usuario-secretos\/"},"modified":"2022-06-14T10:32:46","modified_gmt":"2022-06-14T10:32:46","slug":"el-error-de-la-api-de-travis-ci-sin-parches-expone-miles-de-tokens-de-acceso-de-usuario-secretos","status":"publish","type":"post","link":"https:\/\/teknomers.com\/es\/el-error-de-la-api-de-travis-ci-sin-parches-expone-miles-de-tokens-de-acceso-de-usuario-secretos\/","title":{"rendered":"El error de la API de Travis CI sin parches expone miles de tokens de acceso de usuario secretos"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

Un problema de seguridad sin parches en la API de Travis CI ha dejado a decenas de miles de tokens de usuarios de desarrolladores expuestos a posibles ataques, lo que permite a los actores de amenazas violar las infraestructuras de la nube, realizar cambios de c\u00f3digo no autorizados e iniciar ataques a la cadena de suministro.<\/p>\n

“Hay m\u00e1s de 770 millones de registros de usuarios de nivel gratuito disponibles, de los cuales puede extraer f\u00e1cilmente tokens, secretos y otras credenciales asociadas con proveedores de servicios en la nube populares como GitHub, AWS y Docker Hub”, investigadores de la firma de seguridad en la nube Aqua. dijo<\/a> en un informe del lunes.<\/p>\n

Travis CI es un integraci\u00f3n continua<\/a> servicio utilizado para crear y probar proyectos de software alojados en plataformas de repositorio en la nube como GitHub y Bitbucket.<\/p>\n

\"La<\/a><\/div>\n

El problema, informado anteriormente en 2015 y 2019<\/a>tiene su origen en el hecho de que la API<\/a> permite el acceso a registros hist\u00f3ricos en formato de texto claro, lo que permite que una parte malintencionada incluso “obtenga los registros que antes no estaban disponibles a trav\u00e9s de la API”.<\/p>\n

Los registros se remontan a enero de 2013 y hasta mayo de 2022, y van desde los n\u00fameros de registro 4\u00a0280\u00a0000 hasta el 774\u00a0807\u00a0924, que se utilizan para recuperar un registro de texto simple \u00fanico a trav\u00e9s de la API.<\/p>\n

Adem\u00e1s, un an\u00e1lisis m\u00e1s profundo de 20\u00a0000 registros revel\u00f3 hasta 73\u00a0000 tokens, claves de acceso y otras credenciales asociadas con varios servicios en la nube como GitHub, AWS y Docker Hub.<\/p>\n

\"Fichas<\/div>\n

Esto es a pesar de los intentos de Travis CI de l\u00edmite de velocidad de la API<\/a> y filtrar autom\u00e1ticamente<\/a> asegure las variables de entorno y los tokens de los registros de compilaci\u00f3n mostrando la cadena “[secure]”en su lugar.<\/p>\n

Una de las ideas cr\u00edticas es que, si bien “github_token” estaba ofuscado, Travis CI no enmascar\u00f3 otras 20 variaciones de este token que segu\u00edan una convenci\u00f3n de nomenclatura diferente, incluidos github_secret, gh_token, github_api_key y github_secret.<\/p>\n

\"La<\/a><\/div>\n

“Travis CI ralentiz\u00f3 la velocidad de las llamadas API, lo que dificulta la capacidad de consultar la API”, dijeron los investigadores. “Sin embargo, en este caso, esto no fue suficiente. Un actor de amenazas experto puede encontrar una soluci\u00f3n para eludir esto”.<\/p>\n

“Sin embargo, la combinaci\u00f3n de la facilidad de acceso a los registros a trav\u00e9s de la API, la censura incompleta, el acceso a registros ‘restringidos’ y un proceso d\u00e9bil para limitar la velocidad y bloquear el acceso a la API, junto con una gran cantidad de registros potencialmente expuestos, da como resultado una situaci\u00f3n cr\u00edtica.”<\/p>\n

Travis CI, en respuesta a los hallazgos, ha dicho que el problema es “por dise\u00f1o”, lo que requiere que los usuarios sigan las mejores pr\u00e1cticas para evitar filtrar secretos en los registros de compilaci\u00f3n y rotar peri\u00f3dicamente tokens y secretos.<\/p>\n

Los hallazgos son particularmente significativos a ra\u00edz de una campa\u00f1a de ataque de abril de 2022 que aprovech\u00f3 los tokens de usuario de OAuth robados emitidos a Heroku y Travis CI para escalar el acceso a la infraestructura de NPM y clonar repositorios privados seleccionados.<\/p>\n

<\/p>\n<\/div>\n


\n
ttn-es-57<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Un problema de seguridad sin parches en la API de Travis CI ha dejado a decenas de miles<\/p>\n","protected":false},"author":1,"featured_media":205871,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[9],"tags":[3348,4657,4656,10367,4661,4664,5369,4013,4662,4668,4667,883,4654,4658,4659,4653,4655,6244,4663,6628,4666,4665,1030,50202,22933,8081,4660],"class_list":["post-205870","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-tecnologia","tag-acceso","tag-actualizaciones-ciberneticas","tag-actualizaciones-de-seguridad-cibernetica","tag-api","tag-ataques-ciberneticos","tag-como-hackear","tag-error","tag-expone","tag-filtracion-de-datos","tag-la-seguridad-informatica","tag-las-noticias-de-los-hackers","tag-miles","tag-noticias-ciberneticas","tag-noticias-de-hackers","tag-noticias-de-pirateria","tag-noticias-de-seguridad-cibernetica","tag-noticias-de-seguridad-cibernetica-hoy","tag-parches","tag-programa-malicioso-ransomware","tag-secretos","tag-seguridad-de-informacion","tag-seguridad-de-la-red","tag-sin","tag-tokens","tag-travis","tag-usuario","tag-vulnerabilidad-de-software"],"_links":{"self":[{"href":"https:\/\/teknomers.com\/es\/wp-json\/wp\/v2\/posts\/205870","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/teknomers.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/teknomers.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/teknomers.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/teknomers.com\/es\/wp-json\/wp\/v2\/comments?post=205870"}],"version-history":[{"count":0,"href":"https:\/\/teknomers.com\/es\/wp-json\/wp\/v2\/posts\/205870\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/teknomers.com\/es\/wp-json\/wp\/v2\/media\/205871"}],"wp:attachment":[{"href":"https:\/\/teknomers.com\/es\/wp-json\/wp\/v2\/media?parent=205870"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/teknomers.com\/es\/wp-json\/wp\/v2\/categories?post=205870"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/teknomers.com\/es\/wp-json\/wp\/v2\/tags?post=205870"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}