Avalikus koodis leiti Mercedes'e siserepositorite GitHubi token.

RedHunt Labs'i ettevõtte läbi viidud konfidentsiaalsete andmete lekkimise skaneerimise käigus leiti avalikust GitHub'i hoidlast API-token, mis võimaldas saada piiramatut juurdepääsu Mercedes-Benzi sisemistele hoidlatele, mis asuvad ettevõtte sisese serveri platvormil Github Enterprise Server. Eeldatakse, et token avaldati ekslikult ühe Mercedes-Benzi töötaja poolt koos koduga, mis oli avalikus hoidlas GitHub'is.

Token on hoidlas alates 29. septembrist 2023 ja avastati 11. jaanuaril 2024. Pärast ettevõtte teavitamist juhtumist 24. jaanuaril kustutati token. Mercedes-Benzi esindajate sõnul oli paljastatud tokeniga võimalik saada ligipääs mitte kogu lähtekoodile, mis oli, serveris, vaid ainult eraldi ettevõtte sisemistele hoidlatele. Samuti märkisid uurijad, kes tokeni avastasid, et sisemistes hoidlates, millega oli võimalik ühendada paljastatud tokeni abil, leidub suletud tehnilist dokumentatsiooni ja teavet, mis moodustab ärisaladuse, samuti konfidentsiaalseid andmeid, nagu andmebaaside ühendamise kasutajatunnused, juurdepääsuvõtmed pilveteenustele, API juurdepääsuvõtmed ja teenuste ühenduse paroolid.

Lisaks on Escape'i ettevõte läbi viinud ühe miljoni domeenide skaneerimist, et leida avalikult kergesti kätte saadavaid võtmeid ja API-tokene. Skaneerimise käigus analüüsiti 189,5 miljonit URL-i, mille käigus leiti 18458 lehekomponendile sisseehitatud võtmeid ja tokene, millest 41% on kriitilise tähtsusega, s.t. nende kaotamine toob kaasa märkimisväärseid rahalisi riske. Näiteks uuringute kohaselt on ligipääsetavad rahasummad, mille jaoks on võimalik kasutada lehekülgedele jäävaid API Stripe'i tokene, umbes 20 miljonit dollarit.

Leitud konfidentsiaalsete andmete seas mainitakse GitHub'i juurdepääsutokene (51.5%), GitLab'i, Stripe'i (0.9%), OpenAI (1.4%), AWS, Twitch (0.7%), Coinbase, X/Twitter (2.7%), Slack (9.5%) ja Discord (1.2%), samuti privaatseid RSA-võtmeid (26.3%). 35% tuvastatud võtmetest ja tokenitest oli JavaScripti failides. 2.1% juhtudest leiti konfidentsiaalsed andmed failidest, mis saadi JavaScripti koodi kompileerimise tulemusena ühte faili.

Allikas: opennet.ru