RedHunt Labs'i poolt läbiviidud skaneerimise käigus leiti GitHubi avalikke repo'sid uurides konfidentsiaalsete andmete lekkeid avalikus repo's API-tunnus, mis võimaldab piiramatu juurdepääsu Mercedes-Benzi sisemistele repo'dele, mis on paigaldatud ettevõtte sisemisele serverile platvormil Github Enterprise Server. Eeldatakse, et tunnus avaldati juhuslikult ühe Mercedes-Benzi töötaja poolt koodi seas, mis oli avalikus repo's GitHubis.
Tunnus on olnud repo's alates 29. septembrist 2023 ja leiti 11. jaanuaril 2024. Pärast ettevõtte teavitamist juhtumist 24. jaanuaril, tunnus tühistati. Mercedes-Benzi esindajate sõnul võimaldas avalikustatud tunnuse abil pääseda ligi mitte kogu koodile, mis on paigaldatud, serveril, vaid vaid teatud sisemistele repo'dele ettevõttes. Uurijate teates, kes tunnuse avastasid, öeldakse, et neid sisemistes repo'des, kuhu sai ühenduda leitud tunnuse abil, leidus suletud tehnilist dokumentatsiooni ja teavet, mis on ärisaladus, samuti konfidentsiaalseid andmeid, nagu andmed andmebaasi ühendamiseks, juurdepääsu võtmed pilveteenustele, API juurdepääsu võtmed ja teenuste ühendamise paroolid.
Lisaks võib märkida, et Escape'i ettevõte skaneeris miljonit of domains avaliku juurdepääsu võtmete ja API-tunnuste olemasolu osas. Skaneerimisel, mille käigus analüüsiti 189,5 miljonit URL-i, tuvastati 18458 lehekülgedelt leitud võtit ja tunnust, millest 41% on kriitilise tähtsusega, st nende kadumine toob kaasa olulisi rahalisi riske. Näiteks uurijate hinnangul on rahasumma, millele menüüveebide kaudu pääseb ligi jäänud API-tunnustega, umbes 20 miljonit dollarit.
Leitud konfidentsiaalsete andmete seas on mainitud GitHubi (51,5%), GitLabi, Stripe'i (0,9%), OpenAI (1,4%), AWS, Twitchi (0,7%), Coinbase'i, X/Twitterit (2,7%), Slacki (9,5%) ja Discordi (1,2%) juurdepääsu märke, samuti privaatseid RSA-võtmeid (26,3%). 35% leitud võtitest ja tunnustest olid JavaScripti failides. 2,1% juhtudest leiti konfidentsiaalsed andmed failides, mis saadi JavaScripti koodi kompilatsiooni tulemusena üheks failiks.
Allikas: opennet.ru
