⬇ Scarica il santino: ·
San LeakyCLI, il terminale che parlava troppo
Patrono dei log delle pipeline, delle variabili d'ambiente in chiaro e dei comportamenti "previsti dal design".
Vita
Nel 2023 Orca Security segnalò che alcuni comandi della CLI di Azure stampavano nei log segreti e credenziali, e quei log spesso finivano visibili nelle build pubbliche, per esempio su GitHub Actions. Microsoft lo corresse come CVE-2023-36052. Il 16 aprile 2024 Orca mostrò che le CLI di AWS e di Google Cloud facevano lo stesso, ma i due fornitori risposero che era il comportamento atteso e aggiornarono la documentazione.
Preghiera
O San LeakyCLI, che reciti ad alta voce ciò che dovevi tacere, fa' che i nostri terminali sappiano mantenere un segreto. Amen.
Come si festeggia
Si festeggia aggiornando la CLI di Azure, silenziando l'output nelle pipeline e cercando nei vecchi log ciò che non doveva esserci.
Terminale loquace, segreto fugace.