I forbindelse med RedHunt Labs' scanning af lækager af fortrolige data i GitHub-depot blev der identificeret en offentliggørelse i et offentligt depot af et API-token, der muliggør adgang til interne depotter hos Mercedes-Benz, som er placeret på en intern server baseret på GitHub Enterprise Server. Det formodes, at tokenet er blevet offentliggjort ved en fejl af en af Mercedes-Benz' medarbejdere blandt koden, der er placeret i et offentligt depot på GitHub.
Tokenet har været i depot siden 29. september 2023 og blev opdaget den 11. januar 2024. Efter at være blevet informeret om hændelsen den 24. januar blev tokenet tilbagekaldt. Ifølge repræsentanter fra Mercedes-Benz kunne det offentliggjorte token give adgang ikke til hele koden, der er placeret på serveren, men kun til bestemte interne depotter i virksomheden. I meddelelsen fra forskerne, der opdagede tokenet, nævnes det, at der i de interne depotter, der kunne tilgås ved hjælp af det fundne token, er noteret tilstedeværelsen af fortrolig teknisk dokumentation og information, der udgør handelshemmeligheder, samt fortrolige data såsom legitimationsoplysninger til forbindelse til databasesystemer, adgangsnøgler til cloud-tjenester, API-adgangsnøgler og adgangskoder til tjenester.
Derudover kan det nævnes, at Escape har udført scanning af en million domæner for at finde eventuelle nøgler og API-tokens tilgængelige offentligt. Under scanningen, hvor der blev analyseret 189,5 millioner URL'er, blev der identificeret 18.458 indlejrede nøgler og tokens på siderne, hvoraf 41% er kritisk vigtige, dvs. deres tab medfører betydelige finansielle risici. For eksempel estimerer forskerne, at den mængde penge, der kan tilgås via de efterladte tokens til API-anmodninger til Stripe, beløber sig til omkring 20 millioner dollars.
Blandt de identificerede fortrolige data nævnes adgangstokens til GitHub (51,5%), GitLab, Stripe (0,9%), OpenAI (1,4%), AWS, Twitch (0,7%), Coinbase, X/Twitter (2,7%), Slack (9,5%) og Discord (1,2%), samt private RSA-nøgler (26,3%). 35% af de identificerede nøgler og tokens var til stede i JavaScript-filer. I 2,1% af tilfældene blev fortrolige data fundet i filer, der blev genereret som resultat af at komprimere JavaScript-kode til én fil.
Kilde: opennet.ru
