Im Rahmen einer Untersuchung von RedHunt Labs zu Leaks vertraulicher Daten in GitHub-Repositories wurde die Veröffentlichung eines API-Tokens in einem öffentlichen Repository entdeckt, das unbeschränkten Zugriff auf die internen Repositories des Unternehmens Mercedes-Benz ermöglicht, die auf einem internen Server mit der Plattform GitHub Enterprise Server gehostet werden. Es wird angenommen, dass das Token versehentlich von einem der Mitarbeiter von Mercedes-Benz im Code, der in dem öffentlichen Repository auf GitHub veröffentlicht wurde, veröffentlicht wurde.
Das Token ist seit dem 29. September 2023 im Repository und wurde am 11. Januar 2024 entdeckt. Nachdem das Unternehmen über den Vorfall am 24. Januar informiert wurde, wurde das Token zurückgerufen. Laut den Angaben von Vertretern von Mercedes-Benz konnte mit dem veröffentlichten Token nicht auf den gesamten Quellcode zugegriffen werden, sondern nur auf einzelne interne Repositories des Unternehmens. ServerIn der Mitteilung der Forscher, die das Token entdeckt haben, wird jedoch erwähnt, dass in den internen Repositories, zu denen über das gefundene Token eine Verbindung hergestellt werden konnte, geschlossene technische Dokumentationen und Informationen, die Geschäftsgeheimnisse darstellen, sowie vertrauliche Daten vorhanden sind, wie z.B. Anmeldeinformationen für den Zugriff auf Datenbanken, Zugangsschlüssel zu Cloud-Diensten, API-Zugangsschlüssel und Passwörter für den Zugriff auf Dienste.
Zusätzlich kann erwähnt werden, dass das Unternehmen Escape eine Untersuchung von einer Million Domains auf der Suche nach Schlüsseln und API-Token durchgeführt hat, die öffentlich zugänglich sind. Bei dieser Analyse von 189,5 Millionen URLs wurden 18.458 eingebettete Schlüssel und Token auf den Seiten entdeckt, von denen 41 % als kritisch wichtig gelten, d.h. deren Verlust erhebliche finanzielle Risiken mit sich bringt. Laut Schätzungen der Forscher beträgt das Volumen der Mittel, auf die über die auf den Seiten hinterlassenen Token für den Zugriff auf die Stripe-API zugegriffen werden kann, etwa 20 Millionen US-Dollar.
Unter den auf den Seiten gefundenen vertraulichen Daten werden Zugangstoken für GitHub (51,5 %), GitLab, Stripe (0,9 %), OpenAI (1,4 %), AWS, Twitch (0,7 %), Coinbase, X/Twitter (2,7 %), Slack (9,5 %) und Discord (1,2 %) sowie private RSA-Schlüssel (26,3 %) erwähnt. 35 % der gefundenen Schlüssel und Token waren in JavaScript-Dateien vorhanden. In 2,1 % der Fälle wurden vertrauliche Daten in Dateien gefunden, die durch die Kompilierung von JavaScript-Code in eine Datei entstanden sind.
Quelle: opennet.ru
