Během skenování úniku důvěrných dat ve veřejných repozitářích GitHub provedeného společností RedHunt Labs byla odhalena publikace API tokenu ve veřejném repozitáři, který umožňuje získat neomezený přístup k interním repozitářům společnosti Mercedes-Benz, umístěným na interním serveru založeném na platformě Github Enterprise Server. Předpokládá se, že token byl omylem zveřejněn jedním ze zaměstnanců Mercedes-Benz v kódu umístěném ve veřejném repozitáři na GitHubu.
Token se nachází v repozitáři od 29. září 2023 a byl odhalen 11. ledna 2024. Po informování společnosti o incidentu 24. ledna byl token odvolán. Podle prohlášení zástupců Mercedes-Benz bylo možné pomocí zveřejněného tokenu získat přístup pouze k jednotlivým interním repozitářům společnosti. serveruV oznámení výzkumníků, kteří token odhalili, se uvádí, že v interních repozitářích, k nimž bylo možné se připojit pomocí nalezeného tokenu, byly zaznamenány uzavřené technické dokumentace a informace představující obchodní tajemství, včetně důvěrných dat, jako jsou přihlašovací údaje pro připojení k databázím, klíče pro přístup k cloudovým službám, klíče pro přístup k API a hesla pro připojení ke službám.
Dále stojí za zmínku, že společnost Escape provedla skenování jednoho milionu domén. veřejně dostupných klíčů a API tokenů. Během skenování, při němž bylo analyzováno 189,5 milionu URL, bylo odhaleno 18458 vložených klíčů a tokenů na stránkách, z nichž 41 % je kriticky důležitých, což znamená, že jejich ztráta představuje značná finanční rizika. Například podle odhadů výzkumníků je objem prostředků, k nimž je možné získat přístup prostřednictvím tokenů na stránkách pro API Stripe, přibližně 20 milionů dolarů.
Mezi odhalenými citlivými daty na stránkách se zmiňují přístupové tokeny k GitHubu (51,5 %), GitLabu, Stripe (0,9 %), OpenAI (1,4 %), AWS, Twitchi (0,7 %), Coinbase, X/Twitter (2,7 %), Slacku (9,5 %) a Discordu (1,2 %), jakož i soukromé RSA klíče (26,3 %). 35 % odhalených klíčů a tokenů bylo přítomno v JavaScriptových souborech. V 2,1 % případů byly důvěrné údaje nalezeny v souborech vzniklých kompilací JavaScriptového kódu do jednoho souboru.
Zdroj: opennet.ru
