Travis CI 漏洞致数千个开源项目机密泄露

近日，研究人员 Felix Lange 爆出 Travis CI 存在严重安全漏洞，所有公共开源存储库的安全环境变量（签名秘钥、访问凭据和所有公共开源项目的 API tokens 等）都包含到 pull request 构建中，如果这些环境变量被窃取，那么这一漏洞将导致数千个开源项目的核心被泄露。

Travis CI 是一个开源的持续集成构建项目，别具一格地采用了 yaml 格式，累计为超过 90 万个开源项目和 60 万用户提供服务。因为它能与 GitHub 和 Bitbucket 无缝集成，所以目前大多数的 GitHub 项目都已移入到 Travis CI 的构建队列中。

如下图所言，当用户在运行构建时，Travis CI 会将 GitHub 存储库克隆到一个全新的虚拟环境中，并执行一系列的任务来构建和测试代码。如果其中一个或多个任务失败，则意味着构建中断，如果任务全部成功，则意味着构建通过，Travis CI 可以将用户的代码部署到 web 服务器或应用程序主机上。