В публичен код е открит GitHub токен от вътрешни репозитории на Мерседес

В хода сканирането на изтичане на конфиденциални данни от компанията RedHunt Labs в репозиторите на GitHub беше установено публикуване на API токен в публичен репозиторий, който предоставя неограничен достъп до вътрешни репозитории на компанията Mercedes-Benz, разположени на вътрешен сървър, базиран на платформата Github Enterprise Server. Предполага се, че токенът е бил случайно публикуван от един от служителите на Mercedes-Benz сред кода, поставен в публичен репозиторий на GitHub.

Токенът е в репозитория от 29 септември 2023 година и е бил установен на 11 януари 2024 година. След уведомлението на компанията за инцидента на 24 януари токенът е бил отзован. Според изявления на представителите на Mercedes-Benz, с разкрития токен е можело да се получи достъп не до целия изходен код, разположен на сървър, а само до отделни вътрешни репозитории на компанията. В съобщението на изследователите, установили токена, се казва, че във вътрешните репозитории, до които може да се свърже чрез намерения токен, е установено наличие на закрита техническа документация и информация, представляваща търговска тайна, както и конфиденциални данни, като данни за достъп до СУБД, ключове за облачни услуги, API ключове и пароли за свързване със услуги.

Допълнително може да се отбележи, че компанията Escape е провела сканиране на милион домейни относно наличието в публичното пространство на ключове и API токени. При сканирането, по време на което са анализирани 189.5 млн URL адреса, бяха установени 18458 вградени на страници ключове и токени, от които 41% са критично важни, т.е. загубата им носи значителни финансови рискове. Например, според оценките на изследователите, обемът на средствата, до които може да се получи достъп чрез оставените на страниците токени за API на Stripe, е около 20 милиона долара.

Сред установените на страниците конфиденциални данни се споменават токени за достъп до GitHub (51.5%), GitLab, Stripe (0.9%), OpenAI (1.4%), AWS, Twitch (0.7%), Coinbase, X/Twitter (2.7%), Slack (9.5%) и Discord (1.2%), както и частни RSA ключове (26.3%). 35% от установените ключове и токени присъстват в JavaScript файлове. В 2.1% от случаите конфиденциалните данни бяха намерени в файлове, получени в резултат на компилирането на JavaScript кода в един файл.

Източник: opennet.ru