Инженерите на ASUS месецами държаха открити вътрешните пароли в GitHub

За екипа по сигурност на ASUS март не тръгна особено добре. Появиха се нови обвинения за сериозни нарушения на сигурността от страна на служители на компанията, този път свързани с GitHub. Новината дойде след скандала, свързан с разпространението на уязвимости чрез официалните сървъри на Live Update.

Аналитикът по сигурност SchizoDuckie се свърза с Techcrunch, за да сподели подробности за още една уязвимост в сигурността, открита от него в защитната стена на ASUS. Според него, компанията е публикувала грешно собствените пароли на служителите си в репозиториите на GitHub. В резултат на това той получи достъп до вътрешния имейл на компанията, където служителите обменяха линкове към ранни версии на приложения, драйвери и инструменти.

Акаунтът принадлежал на инженер, който, както се съобщава, е оставял профила си открит поне в продължение на година. SchizoDuckie също съобщи, че е открил вътрешни пароли на компанията, публикувани на GitHub в профилите на двама други инженери от тайванския производител. Източникът е споделил със журналистите екранни снимки, които потвърждават констатациите му, въпреки че самите изображения не са били публикувани.

Важно е да се отбележи, че става въпрос за съвсем различна уязвимост в сравнение с предишната атака, при която хакери получиха достъп до сървърите на ASUS и модифицираха официалния софтуер, вграден в него обратно с вратичка (след което ASUS добави сертификат за автентичност и започна да го разпространява чрез официалните канали). Но в този случай е открито пропуск в сигурността, който може да постави компанията в риск от аналогични атаки.

„Компаниите нямат ни най-малка представа какво правят техните програмисти с техния код в GitHub“, каза SchizoDuckie. ASUS заяви, че не може да провери твърденията на специалиста, но активно преглежда всички системи, за да отстрани известните заплахи от своето сървъри и помощно ПО, както и да се увери, че няма изтичане на данни.

Подобни проблеми със сигурността не са уникални за ASUS — често дори много големи компании попадат в сходни ситуации, свързани с небрежност от страна на служителите. Всичко това показва колко сложна е задачата за осигуряване на сигурността в съвременната инфраструктура и колко лесно могат да се случат изтичания на данни.

Източник: 3dnews.ru