{"id":201146,"date":"2022-06-14T09:09:59","date_gmt":"2022-06-14T11:09:59","guid":{"rendered":"https:\/\/teknomers.com\/fr\/un-bogue-de-lapi-travis-ci-non-corrige-expose-des-milliers-de-jetons-dacces-utilisateur-secrets\/"},"modified":"2022-06-14T09:09:59","modified_gmt":"2022-06-14T11:09:59","slug":"un-bogue-de-lapi-travis-ci-non-corrige-expose-des-milliers-de-jetons-dacces-utilisateur-secrets","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/un-bogue-de-lapi-travis-ci-non-corrige-expose-des-milliers-de-jetons-dacces-utilisateur-secrets\/","title":{"rendered":"Un bogue de l’API Travis CI non corrig\u00e9 expose des milliers de jetons d’acc\u00e8s utilisateur secrets"},"content":{"rendered":"


\n<\/p>\n

\n
<\/div>\n

Un probl\u00e8me de s\u00e9curit\u00e9 non corrig\u00e9 dans l’API Travis CI a laiss\u00e9 des dizaines de milliers de jetons d’utilisateurs de d\u00e9veloppeurs expos\u00e9s \u00e0 des attaques potentielles, permettant ainsi aux pirates de p\u00e9n\u00e9trer dans les infrastructures cloud, d’apporter des modifications de code non autoris\u00e9es et de lancer des attaques sur la cha\u00eene d’approvisionnement.<\/p>\n

“Plus de 770 millions de journaux d’utilisateurs de niveau gratuit sont disponibles, \u00e0 partir desquels vous pouvez facilement extraire des jetons, des secrets et d’autres informations d’identification associ\u00e9s \u00e0 des fournisseurs de services cloud populaires tels que GitHub, AWS et Docker Hub”, ont d\u00e9clar\u00e9 des chercheurs de la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 cloud Aqua. a dit<\/a> dans un rapport du lundi.<\/p>\n

Travis CI est un Int\u00e9gration continue<\/a> service utilis\u00e9 pour cr\u00e9er et tester des projets logiciels h\u00e9berg\u00e9s sur des plates-formes de r\u00e9f\u00e9rentiel cloud telles que GitHub et Bitbucket.<\/p>\n

\"La<\/a><\/div>\n

Le probl\u00e8me, pr\u00e9c\u00e9demment signal\u00e9 en 2015 et 2019<\/a>s’enracine dans le fait que API<\/a> permet l’acc\u00e8s aux journaux historiques au format texte clair, permettant m\u00eame \u00e0 une partie malveillante de “r\u00e9cup\u00e9rer les journaux qui n’\u00e9taient auparavant pas disponibles via l’API”.<\/p>\n

Les journaux remontent jusqu’en janvier 2013 et jusqu’en mai 2022, allant des num\u00e9ros de journal 4 280 000 \u00e0 774 807 924, qui sont utilis\u00e9s pour r\u00e9cup\u00e9rer un journal en texte clair unique via l’API.<\/p>\n

De plus, une analyse plus approfondie de 20 000 journaux a r\u00e9v\u00e9l\u00e9 jusqu’\u00e0 73 000 jetons, cl\u00e9s d’acc\u00e8s et autres informations d’identification associ\u00e9es \u00e0 divers services cloud tels que GitHub, AWS et Docker Hub.<\/p>\n

\"Jetons<\/div>\n

Ceci malgr\u00e9 les tentatives de Travis CI de limiter le d\u00e9bit de l’API<\/a> et filtrer automatiquement<\/a> s\u00e9curiser les variables d’environnement et les jetons des journaux de construction en affichant la cha\u00eene “[secure]” \u00e0 leur place.<\/p>\n

L’une des informations essentielles est que si “github_token” \u00e9tait obscurci, 20 autres variantes de ce jeton qui suivaient une convention de d\u00e9nomination diff\u00e9rente – y compris github_secret, gh_token, github_api_key et github_secret – n’\u00e9taient pas masqu\u00e9es par Travis CI.<\/p>\n

\"La<\/a><\/div>\n

“Travis CI a ralenti la vitesse des appels d’API, ce qui entrave la capacit\u00e9 d’interroger l’API”, ont d\u00e9clar\u00e9 les chercheurs. “Dans ce cas, cependant, cela ne suffisait pas. Un acteur qualifi\u00e9 de la menace peut trouver une solution de contournement pour contourner cela.”<\/p>\n

“Cependant, la combinaison de la facilit\u00e9 d’acc\u00e8s aux journaux via l’API, d’une censure incompl\u00e8te, de l’acc\u00e8s aux journaux “restreints” et d’un processus faible de limitation du d\u00e9bit et de blocage de l’acc\u00e8s \u00e0 l’API, associ\u00e9e \u00e0 un grand nombre de journaux potentiellement expos\u00e9s, entra\u00eene un situation critique.”<\/p>\n

Travis CI, en r\u00e9ponse aux conclusions, a d\u00e9clar\u00e9 que le probl\u00e8me est “par conception”, ce qui oblige les utilisateurs \u00e0 suivre les meilleures pratiques pour \u00e9viter de divulguer des secrets dans les journaux de construction et \u00e0 faire pivoter p\u00e9riodiquement les jetons et les secrets.<\/p>\n

Les r\u00e9sultats sont particuli\u00e8rement significatifs \u00e0 la suite d’une campagne d’attaque d’avril 2022 qui a exploit\u00e9 des jetons d’utilisateur OAuth vol\u00e9s d\u00e9livr\u00e9s \u00e0 Heroku et Travis CI pour intensifier l’acc\u00e8s \u00e0 l’infrastructure NPM et cloner certains r\u00e9f\u00e9rentiels priv\u00e9s.<\/p>\n

<\/p>\n<\/div>\n


\n
ttn-fr-57<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Un probl\u00e8me de s\u00e9curit\u00e9 non corrig\u00e9 dans l’API Travis CI a laiss\u00e9 des dizaines de milliers de jetons d’utilisateurs de d\u00e9veloppeurs expos\u00e9s \u00e0 des attaques potentielles, permettant ainsi aux pirates de p\u00e9n\u00e9trer dans les infrastructures cloud, d’apporter des modifications de code non autoris\u00e9es et de lancer des attaques sur la cha\u00eene d’approvisionnement. “Plus de 770 […]<\/p>\n","protected":false},"author":1,"featured_media":201147,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[6],"tags":[6813,4168,6815,4158,4165,4161,7192,133,16209,50440,4157,4159,4171,4170,10786,4167,1558,4160,4163,4162,5256,4172,4169,18932,1730,4166,4164],"class_list":["post-201146","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-technologie","tag-bogue","tag-comment-pirater","tag-corrige","tag-cyber-actualites","tag-cyber-attaques","tag-cyber-mises-a-jour","tag-dacces","tag-des","tag-expose","tag-jetons","tag-lactualite-de-la-cybersecurite","tag-lactualite-de-la-cybersecurite-aujourdhui","tag-lactualite-des-hackers","tag-la-securite-des-informations","tag-lapi","tag-logiciel-malveillant-de-ransomware","tag-milliers","tag-mises-a-jour-de-la-cybersecurite","tag-nouvelles-de-piratage","tag-nouvelles-de-pirates","tag-secrets","tag-securite-informatique","tag-securite-internet","tag-travis","tag-utilisateur","tag-violation-de-donnees","tag-vulnerabilite-logicielle"],"_links":{"self":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/201146","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/comments?post=201146"}],"version-history":[{"count":0,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/posts\/201146\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media\/201147"}],"wp:attachment":[{"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/media?parent=201146"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/categories?post=201146"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/teknomers.com\/fr\/wp-json\/wp\/v2\/tags?post=201146"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}