В резултат на сканиране на изтичане на конфиденциални данни от компанията RedHunt Labs в хранилищата на GitHub беше открито публикуване в публично хранилище на API токен, който предоставя неограничен достъп до вътрешни хранилища на компанията Mercedes-Benz, разположени на вътрешен сървър, базиран на платформата GitHub Enterprise Server. Предполага се, че токенът е бил случайно публикуван от един от служителите на Mercedes-Benz сред код, разположен в публично хранилище на GitHub.
Токенът е в хранилището от 29 септември 2023 г. и е бил открит на 11 януари 2024 г. След уведомление на компанията за инцидента на 24 януари токенът е бил отзован. Според представители на Mercedes-Benz, чрез разкрития токен е можело да се получи достъп не до целия изходен код, разположен на сървър, а само до отделни вътрешни хранилища на компанията. В съобщението на изследователите, които откриха токена, се посочва, че във вътрешните хранища, до които може да се свърже с открития токен, има налична секретна техническа документация и информация, представляваща търговска тайна, както и конфиденциални данни, като идентификационни данни за свързване с СУБД, ключове за достъп до облачни услуги, ключове за достъп до API и пароли за свързване със услуги.
Допълнително може да се отбележи, че компанията Escape е извършила сканиране на един милион домейни за наличие на въвеждане на ключове и API токени в отворен достъп. При сканирането, в хода на което са анализирани 189.5 млн URL адреса, бяха открити 18458 вградени на страниците ключове и токени, от които 41% са критично важни, т.е. загубата им води до значителни финансови рискове. Например, според оценките на изследователите, обемът на средствата, до които може да се получи достъп чрез оставени токени на страниците за обращение към API Stripe, възлиза на около 20 млн долара.
Сред откритите на страниците конфиденциални данни се споменават токени за достъп до GitHub (51.5%), GitLab, Stripe (0.9%), OpenAI (1.4%), AWS, Twitch (0.7%), Coinbase, X/Twitter (2.7%), Slack (9.5%) и Discord (1.2%), а също и частни RSA ключове (26.3%). 35% от откритите ключове и токени бяха намерени в JavaScript файлове. В 2.1% от случаите конфиденциални данни бяха открити в файлове, получени в резултат на компилиране на JavaScript код в един файл.
Източник: opennet.ru
