A GitHub token ຈາກບ່ອນເກັບຂໍ້ມູນພາຍໃນ Mercedes ໄດ້ຖືກພົບເຫັນຢູ່ໃນລະຫັດສາທາລະນະ

ການສະແກນຂໍ້ມູນລັບທີ່ຮົ່ວໄຫຼຢູ່ໃນບ່ອນເກັບມ້ຽນ GitHub ທີ່ດໍາເນີນໂດຍ RedHunt Labs ເປີດເຜີຍການພິມເຜີຍແຜ່ໃນບ່ອນເກັບຂໍ້ມູນສາທາລະນະຂອງ token API ທີ່ອະນຸຍາດໃຫ້ເຂົ້າເຖິງບ່ອນເກັບຂໍ້ມູນ Mercedes-Benz ພາຍໃນໄດ້ບໍ່ຈໍາກັດທີ່ໂຮດຢູ່ໃນເຄື່ອງແມ່ຂ່າຍພາຍໃນໂດຍອີງໃສ່ແພລະຕະຟອມ Github Enterprise Server. ມັນເຊື່ອວ່າ token ໄດ້ຖືກເຜີຍແຜ່ໂດຍບັງເອີນໂດຍຫນຶ່ງໃນພະນັກງານ Mercedes-Benz ໃນບັນດາລະຫັດທີ່ຖືກຈັດພີມມາຢູ່ໃນບ່ອນເກັບມ້ຽນສາທາລະນະໃນ GitHub.

ໂທເຄັນໄດ້ຢູ່ໃນບ່ອນເກັບມ້ຽນຕັ້ງແຕ່ວັນທີ 29 ກັນຍາ 2023, ແລະຖືກຄົ້ນພົບໃນວັນທີ 11 ມັງກອນ 2024. ຫຼັງຈາກບໍລິສັດໄດ້ຮັບແຈ້ງເຫດການໃນວັນທີ 24 ມັງກອນ, ໂທເຄັນດັ່ງກ່າວໄດ້ຖືກຍົກເລີກ. ອີງຕາມຕົວແທນຂອງ Mercedes-Benz, ໂທເຄັນທີ່ຖືກເປີດເຜີຍບໍ່ໄດ້ໃຫ້ການເຂົ້າເຖິງລະຫັດແຫຼ່ງທັງໝົດທີ່ໂຮດຢູ່ໃນ ເຄື່ອງແມ່ຂ່າຍ, ແຕ່ສະເພາະກັບບ່ອນເກັບມ້ຽນພາຍໃນຂອງບໍລິສັດສະເພາະເທົ່ານັ້ນ. ນັກຄົ້ນຄວ້າຜູ້ທີ່ຄົ້ນພົບໂທເຄັນໄດ້ລະບຸໃນຖະແຫຼງການວ່າບ່ອນເກັບມ້ຽນພາຍໃນທີ່ສາມາດເຂົ້າເຖິງໄດ້ໂດຍໃຊ້ໂທເຄັນມີເອກະສານທາງເທັກນິກທີ່ປິດແລ້ວ ແລະ ຂໍ້ມູນທີ່ປະກອບເປັນຄວາມລັບທາງການຄ້າ, ເຊັ່ນດຽວກັນກັບຂໍ້ມູນລັບເຊັ່ນ: ຂໍ້ມູນປະຈຳຕົວເຂົ້າສູ່ລະບົບຖານຂໍ້ມູນ, ລະຫັດການເຂົ້າເຖິງບໍລິການຄລາວ, ລະຫັດການເຂົ້າເຖິງ API ແລະ ລະຫັດຜ່ານບໍລິການ.

ນອກຈາກນັ້ນ, ມັນຄວນຈະສັງເກດການສະແກນລ້ານອັນທີ່ດຳເນີນໂດຍ Escape доменов ສຳລັບລະຫັດ ແລະ ໂທເຄັນ API ທີ່ສາມາດເຂົ້າເຖິງໄດ້ໂດຍສາທາລະນະ. ການສະແກນ URL ຈຳນວນ 189.5 ລ້ານ URL ໄດ້ລະບຸລະຫັດ ແລະ ໂທເຄັນ 18458 ອັນທີ່ຝັງຢູ່ໃນໜ້າເວັບ, ເຊິ່ງ 41% ແມ່ນມີຄວາມສຳຄັນຫຼາຍ, ຊຶ່ງໝາຍຄວາມວ່າການສູນເສຍຂອງພວກມັນຈະສ້າງຄວາມສ່ຽງທາງດ້ານການເງິນທີ່ສຳຄັນ. ຕົວຢ່າງ, ນັກຄົ້ນຄວ້າຄາດຄະເນວ່າຈຳນວນເງິນທຶນທີ່ສາມາດເຂົ້າເຖິງໄດ້ຜ່ານໂທເຄັນ Stripe API ທີ່ປະໄວ້ໃນໜ້າເວັບແມ່ນປະມານ 20 ລ້ານໂດລາ.

ໃນ​ບັນ​ດາ​ຂໍ້​ມູນ​ຄວາມ​ລັບ​ທີ່​ລະ​ບຸ​ໄວ້​ໃນ​ຫນ້າ​, tokens ການ​ເຂົ້າ​ເຖິງ​ສໍາ​ລັບ GitHub (51.5%), GitLab, Stripe (0.9%), OpenAI (1.4%), AWS, Twitch (0.7%), Coinbase, X/Twitter (2.7%), Slack (9.5%) ແລະ Discord (1.2%), ເຊັ່ນດຽວກັນກັບກະແຈ RSA ສ່ວນຕົວ (26.3%). 35% ຂອງກະແຈ ແລະໂທເຄັນທີ່ລະບຸໄດ້ມີຢູ່ໃນໄຟລ໌ JavaScript. ໃນ 2.1% ຂອງກໍລະນີ, ຂໍ້ມູນທີ່ລະອຽດອ່ອນໄດ້ຖືກພົບເຫັນຢູ່ໃນໄຟລ໌ທີ່ໄດ້ຮັບຜົນມາຈາກການລວບລວມລະຫັດ JavaScript ເຂົ້າໄປໃນໄຟລ໌ດຽວ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru