Bei einer von RedHunt Labs durchgeführten Analyse von Datenlecks in GitHub-Repositories wurde die Veröffentlichung eines API-Tokens in einem öffentlichen Repository festgestellt, das unbegrenzten Zugriff auf interne Repositories der Mercedes-Benz AG bietet, die auf einem internen Server der Plattform GitHub Enterprise Server gehostet werden. Es wird vermutet, dass das Token versehentlich von einem Mitarbeiter von Mercedes-Benz im Code eines öffentlichen Repositories auf GitHub veröffentlicht wurde.
Das Token befindet sich seit dem 29. September 2023 im Repository und wurde am 11. Januar 2024 entdeckt. Nach der Benachrichtigung des Unternehmens über den Vorfall am 24. Januar wurde das Token zurückgezogen. Laut Angaben von Mercedes-Benz konnte mit dem offengelegten Token nur auf einige interne Repositories des Unternehmens zugegriffen werden. Server, während in der Mitteilung der Forscher, die das Token entdeckt haben, erwähnt wird, dass in den internen Repositories, zu denen mit dem gefundenen Token eine Verbindung möglich war, vertrauliche technische Dokumentationen und Informationen, die Geschäftsgeheimnisse darstellen, sowie vertrauliche Daten wie Zugangsdaten zu Datenbanken, Zugangsschlüssel zu Cloud-Diensten, API-Schlüssel und Passwörter für die Verbindung zu Diensten vorhanden sind.
Zusätzlich ist zu vermerken, dass Escape eine Analyse von einer Million Domänen auf potenzielle öffentliche Schlüssel und API-Tokens durchgeführt hat. Bei der Analyse von 189,5 Millionen URLs wurden 18.458 eingebettete Schlüssel und Tokens auf den Seiten entdeckt, von denen 41 % als kritisch wichtig eingestuft werden, d.h. ihr Verlust führt zu erheblichen finanziellen Risiken. Beispielsweise wird von den Forschern geschätzt, dass der Betrag, auf den über die auf den Seiten hinterlassenen Tokens für den API-Zugriff auf Stripe zugegriffen werden kann, etwa 20 Millionen Dollar beträgt.
Unter den auf den Seiten identifizierten vertraulichen Daten werden Zugriffstokens für GitHub (51,5 %), GitLab, Stripe (0,9 %), OpenAI (1,4 %), AWS, Twitch (0,7 %), Coinbase, X/Twitter (2,7 %), Slack (9,5 %) und Discord (1,2 %), sowie private RSA-Schlüssel (26,3 %) erwähnt. 35 % der identifizierten Schlüssel und Tokens waren in JavaScript-Dateien enthalten. In 2,1 % der Fälle wurden vertrauliche Daten in aus JavaScript-Code kompilierten Dateien gefunden.
Quelle: opennet.ru
