Travis CI API 漏洞未修复，可暴露用户机密访问令牌引发供应链攻击

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

专栏·供应链安全

数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。

为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。

注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。

开源持续集成构建项目 Travis CI 的API 中存在一个未修复漏洞，可导致数万名开发人员的用户令牌遭攻击，从而导致威胁行动者攻陷云基础设施，进行越权代码修改并触发供应链攻击。

Travis CI 是一款持续集成服务，可用于构建并测试托管于云仓库平台如 GitHub 和 Bitbucket 上的软件项目。

云安全公司 Aqua 在本周一发布报告指出，“可从超过7.7亿份免费用户的日志中轻松提取令牌、机密和其它和流行云服务提供商 GitHub、AWS和 Docker Hub 相关联的其它凭据。”

该问题最初在2015年和2019年报告，根因在于该 API 允许以明文形式访问历史日志，使恶意人员甚至“提取此前无法通过API获得的日志。”

这些日志可追溯至2013年1月直至2022年5月，日志数字范围,是4180000到774807924，用于通过API检索唯一的明文日志。另外，分析2万份日志后发现了73000分令牌、访问密钥和其它与多种云服务如 GitHub、AWS 和 Docker Hub 相关联的其它凭据。尽管Travis CI 试图通过显示字符串“[secure]”对API进行速率限制并自动过滤构建日志中的安全环境变量和令牌，但结果仍然如此。

虽然 “github_token” 被混淆，但该令牌的其它20种变量仍然遵循不同的命名方法（包括github_secret、gh_token、github_api_key 和 github_secret）仍未被 Travis CI 掩盖。

研究人员指出，“Travis CI 放缓了API调用的速率，从而阻止了查询 API 的能力。然而在这种情况下，这样做仍然不过。具有技能的威胁行动者可找到绕过这一做法的应变措施。结合通过API访问日志的轻松程度、不完整的审查、访问‘受限制’日志以及速率限制和拦截API访问的弱进程，再加上大量可能被泄露的日志，导致这样一种严重情况。”

Travis CI 回应称该问题是有意设计的，用户应按照最佳实践避免在构建日志中泄露机密并定期修改令牌和机密。

自2022年4月发生攻击者利用Heroku 和 Travis CI 的被盗OAuth 用户令牌提升对NPM基础设施和克隆一些私密仓库的访问权限后，这次的研究成果意义尤为重大。