Travis CI 持续集成工具中的一个缺陷暴露了来自数千个在线开源项目的敏感数据。这并不是该软件第一次遇到此类安全问题。

Travis CI 是一个持续集成工具，它帮助软件开发者实现自动化地测试新代码，并将新代码集成到开源项目中。Aqua 研究人员发现，通过该软件的一个 API，可以访问来自 Travis CI 免费用户的多达 7.7 亿条“日志”（即使用户的账号已经删除）。

攻击者可以从这些明文存储的日志中，提取出用于登录 GitHub、Docker Hub 和 AWS 等云服务的用户身份验证令牌。研究人员在 800 万份日志样本中，发现了 70000 多个敏感令牌和其他机密凭证。Aqua 团队认为“所有 Travis CI 免费用户都有可能暴露”。根据 2019 年的数据，Travis CI 被超过 60 万名独立用户，用于超过 932977 个开源项目。

这种对高级用户凭证的访问，会给使用该产品的软件开发者及其客户带来风险。趋势科技英国和爱尔兰安全技术总监 Bharat Mistry 解释道：“如果攻击者获得了这些凭据，就没有什么能阻止他们将恶意代码引入库或构建过程。这个缺陷无疑会导致数字供应链攻击。”

供应链攻击可能极具破坏性。2020 年的 太阳风 Solar Winds 攻击，使国家资助的俄罗斯黑客能够访问数千家企业和政府组织的系统。2021 年的 Kaseya 供应链攻击，使犯罪分子可以同时加密 1500 多家公司的数据，将它们全部扣为人质。

via: https://www.opensourceforu.com/2022/06/the-travis-ci-vulnerability-exposes-sensitive-open-source-project-credentials/

作者：Laveesh Kocher 选题：lkxed 译者：lkxed 校对：wxy

本文由 LCTT 原创编译，Linux中国 荣誉推出