Инженерите на ASUS държаха вътрешните пароли отворени в GitHub в продължение на месеци

Екипът по сигурността на ASUS очевидно имаше лош месец през март. Появиха се нови твърдения за сериозни нарушения на сигурността от служители на компанията, този път включващи GitHub. Новината идва на фона на скандал, свързан с разпространението на уязвимости чрез официални сървъри за актуализиране на живо.

Анализатор по сигурността от SchizoDuckie се свърза с Techcrunch, за да сподели подробности за друг пропуск в сигурността, който откри в защитната стена на ASUS. Според него компанията погрешно е публикувала собствените пароли на служителите в хранилища на GitHub. В резултат на това той получи достъп до вътрешния фирмен имейл, където служителите обменяха връзки към ранни версии на приложения, драйвери и инструменти.

Акаунтът е принадлежал на инженер, който го е оставил отворен поне една година. SchizoDuckie също съобщи, че е открил вътрешни фирмени пароли, публикувани в GitHub в акаунтите на други двама инженери на тайванския производител. Източникът сподели екранни снимки с журналисти, които потвърждават заключенията му, въпреки че самите изображения не бяха публикувани.

Струва си да се отбележи, че това е напълно различна уязвимост в сравнение с предишната атака, при която хакерите получиха достъп до сървърите на ASUS и модифицираха официалния софтуер, като вградиха задна врата в него (след което ASUS добави сертификат за автентичност към него и започна да разпространява по официални канали). Но в този случай беше открит пропуск в сигурността, който може да изложи компанията на риск от подобни атаки.

„Компаниите нямат представа какво правят техните програмисти с техния код в GitHub“, каза ШизоДуки. ASUS каза, че не може да провери твърденията на специалиста, но активно преглежда всички системи, за да елиминира известните заплахи от сървърите и поддържащия софтуер и да гарантира, че няма изтичане на данни.

Подобни проблеми със сигурността не са уникални за ASUS - често дори много големи компании се оказват в подобни ситуации, свързани с небрежността на служителите. Всичко това показва колко трудна е задачата да се гарантира сигурността в съвременната инфраструктура и колко лесно е да възникнат течове на данни.

Източник: 3dnews.ru