Утечка данных из API программирования Travis CI

API разработки Travis CI подвергся атаке. В сеть просочились тысячи токенов пользователей программного обеспечения.

Тысячи токенов пользователей сервиса утекли из API программирования Travis CI для непрерывной интеграции при создании и тестировании проектов, размещенных на GitHub и Bitbucket. Согласно последнему отчету, подготовленному Team Nautilus из компании по кибербезопасности Aqua Security, в сеть были добавлены пользовательские токены, которые обеспечивают легкий доступ к конфиденциальным данным, хранящимся на GitHub, Docker Hub и Amazon Web Services.

Travis CI — это размещенная служба непрерывной интеграции, которая позволяет разработчикам и разработчикам создавать и тестировать проекты, размещенные на GitHub и Bitbucket.

Согласно информации, предоставленной Team Nautilus, в сеть утекли десятки тысяч пользовательских токенов, которые были раскрыты API программирования Travis CI. Данные позволяют практически любому желающему получить свободный доступ к историческим журналам с незащищенным текстом.

Более 770 миллионов журналов содержат токены и учетные данные, которые можно использовать для инициирования различных типов кибератак и получения доступа к учетным записям GitHub.

Исследователи предупреждают пользователей Travis CI. В официальном заявлении для прессы команда Nautilus объявляет:


Судя по информации, предоставленной исследователями кибербезопасности, поставщики услуг, использующие Travis CI, быстро отреагировали на инцидент. Данные, поступившие в сеть, потенциально могут быть использованы для нарушения цепочки поставок.